ASP.NET Cadena de conexión del cifrado/Protección

Question

¿Cuál es la mejor práctica para la protección/cifrado de cadenas de conexión en ASP.NET en lugar de almacenar como texto sin formato en Web.Config

Answer 1

Tome un vistazo a Programmatically encrypting a config-file in .NET, parece cubre este terreno.

Answer 2

Web.Config ha incorporado soporte para encriptar cadenas de conexión (y otros datos), pero esto tiene cierta sobrecarga porque el cifrado está vinculado al servidor, por lo que el cifrado debe ser configurado por un administrador de servidor y no desarrollador.

también puede encriptar manualmente, con la rutina de encriptación en su fuente.

¿Por qué cifras? ¿De quién estás protegiendo? Los hackers obtienen acceso a la configuración web? Desarrolladores que no deberían saber la cadena de conexión prod Las razones detrás del cifrado cambiarán la solución un tanto.

Answer 3

Puede configurar esta sección para que sea encrypted.

Sin embargo, esa encriptación predeterminada tiene inconvenientes señalados por otros. También puede configurar la sección de cadenas de conexión para que apunte a un archivo externo, y ese archivo externo funcionará en conjunto con el cifrado. Eso debería resolver la mayoría de las preocupaciones, ya que el administrador del sistema puede configurar el cifrado allí sin romper nada más en el web.config del desarrollador y un devloper puede implementar cambios en la configuración sin deshacer el cifrado del administrador del sistema.

Answer 4

La mejor práctica es utilizar la autenticación de Windows (con la advertencia sobre la agrupación de conexiones).

En su defecto, la encriptación de cadenas de conexión es buena práctica: Keeping secrets in ASP.NET 2.0.

Nota: enfoque básico no funciona con servidores Web.