asp.net - 在哪里存储加密 key MVC 应用程序

Question

我正在使用 AES 加密/解密类，它需要一个 key 值和向量值来加密和解密 MVC3 应用程序中的数据。

在保存记录时，我正在加密数据，然后将其存储在数据库中。当我检索记录时，我正在 Controller 中解密并将未加密的值传递给 View 。

关注的不是在数据通过网络时保护数据，而是在数据库遭到破坏时保护数据库。

我读过很多帖子说不要在你的代码中放置加密 key 。

好的，那么它们应该保存在哪里？文件系统？另一个数据库？

寻找一些方向。

Answer 1

常识说，如果入侵者可以访问您的数据库，他们很可能也可以访问您的文件系统。这真的取决于你。一方面，您可以尝试隐藏它。在配置文件中，在文件系统中某处的纯文件中，使用应用程序中的另一个 key 对其进行加密......等等。

配置文件是一个合乎逻辑的答案，但为什么要冒险 - 混合它。随意将 key 与多级加密混合使用 - 一个需要记录本身的某些东西并且对每条记录都是唯一的，另一个需要配置值，第三个需要特定于应用程序的值，第四个可能来自隐藏的库在您的应用程序的引用范围内？这样，即使一层以某种方式受到损害，您也会有其他几层保护它。

是的，它增加了开销。是的，它相对昂贵。但是，如果您拥有用户信用卡详细信息等敏感数据，这样做是否值得？你打赌是。

我在我的个人宠物项目之一中使用了类似的加密和散列技术，该项目高度关注安全性并受到严格控制。这取决于您在任何时候需要显示多少数据 - 例如，我的一次只能获取 10 条记录，很可能甚至更少。

...通过混合指定我的意思:加密一次。然后使用不同的 key 和建议的不同算法再次加密该数据。