asp.net - 关于machinekey的安全

Question

我们有一个在网络场中使用 asp.net 表单例份验证的场景，需要设置相同的 <machinekey />每个服务器 .config 文件上的部分。

存储<machinekey />是否更好？ machine.config 中的部分而不是 web.config 中的部分？每种安全方法的优缺点是什么？

<machineKey validationKey="[keyhere]"
    decryptionKey="[keyhere]" validation="SHA1" />

如果不够安全，有没有办法加密<machinekey />部分像我们加密我们的连接字符串(使用 DPAPI)？ ( http://msdn.microsoft.com/en-us/library/ms998280.aspx )

最好的问候马格纳斯

Answer 1

我会把它放在 web.config 中，以表明您正在这样做。如果您想要提高应用程序之间的安全性，它还为您提供了为不同的应用程序使用不同 key 的附加功能(不是您可能想要的，但如果保留在 web.config 中，它是一个选项)。

无论哪种方式，我都不认为您的安全性降低/提高了。如果您的服务器受到的破坏足以导致 web.config 被盗，那么 machine.config 可能也是如此。

我还没有这样做，但我认为你可以使用 DPAPI 来加密 machineKey 部分。虽然不是 100%...

http://msdn.microsoft.com/en-us/library/ms998280.aspx#paght000005_step1