.net - 将密码放在配置文件中的好方法是什么？

Question

我有一堆 .Net 配置文件，其中包含 Windows 服务帐户和/或 SQL 服务器登录的密码。我想将它们从配置文件中取出并让它们更安全。

在配置文件中设置密码的好方法是什么？

谢谢

Answer 1

您实际上可以加密配置文件的部分。正如您在问题中所问的那样，它与配置文件并不“分离”，但它比将未加密/明文密码存储在配置文件中更安全。

加密连接字符串的示例(来自命令提示符):

aspnet_regiis -pe "connectionStrings" -app "/SampleApplication" -prov "RsaProtectedConfigurationProvider"

请注意，这种相同的技术可以应用于除连接字符串之外的部分。

参见教程: https://msdn.microsoft.com/en-us/library/zhhddkxy%28v=vs.140%29.aspx

To decrypt and encrypt a section of the Web.config file, the ASP.NET process must have permission to read the appropriate encryption key information. For more information, see Importing and Exporting Protected Configuration RSA Key Containers.

应用程序将能够在 native 使用加密值，但如果用户可以通过文件共享访问配置文件，则字符串仍将被加密。

另一个可能有一些附加信息的教程:
http://www.codeproject.com/Tips/795135/Encrypt-ConnectionString-in-Web-Config

请注意，加密是可逆的，使用适当的 key 。您最安全的选择是锁定远程并共享对存储配置文件的区域的访问。如果没有这些，除了服务器管理员之外，任何人都不能访问您的配置文件。