Cómo usar 'System.Security.Cryptography.AesManaged' para cifrar un byte []?

Question

Básicamente quiero usar System.Security.Cryptography.AesManaged (¿o una clase mejor, si cree que hay uno?) Para tomar una matriz de bytes y crear otra matriz de bytes cifrados, usando una clave simétrica dada (supongo que ' ¿Necesito uno?).

También necesitaré la forma de invertir este procedimiento.

El objetivo es cifrar las contraseñas almacenadas. ¿Supongo que hay una manera simple de hacer esto?

Gracias

Answer 1

Simple encrypting and decrypting data in C#.

Editar: Para las contraseñas, yo recomendaría usar BCrypt en vez de hacer un cifrado de doble sentido, a menos que realmente necesita para recuperar la contraseña original. Normalmente solo necesita el hecho de que alguien conocía la contraseña, no la contraseña en sí misma.

Answer 2

EDIT: Noted edición de eed3si9n ... Acepto, el cifrado simétrico es una mala opción para las contraseñas. Use hashes (y no MD5) en su lugar. Aquí está a very complete example.

Un ejemplo sencillo:

byte[] clear = GetCleartext(); 
HashAlgorithm sha2 = SHA256CryptoServiceProvider.Create(); 
byte[] hashed = sha2.ComputeHash(clear); 

Para validar una contraseña correcta, se correría el mismo cálculo sobre la contraseña proporcionada, y comparar el resultado con el hash que tiene en su base de datos.

Es una buena práctica agregar sal (datos aleatorios) al texto sin formato para evitar rainbow table attacks. Básicamente, agregue un valor conocido generado aleatoriamente, exclusivo de ese usuario, al texto sin formato antes del hash.

Answer 3

Esto es lo que hice al final, inspirado en (una versión anterior de) la respuesta de Michael:

private string Encrypt(string input) 
{ 
    return Convert.ToBase64String(Encrypt(Encoding.UTF8.GetBytes(input))); 
} 
private byte[] Encrypt(byte[] input) 
{ 
    PasswordDeriveBytes pdb = new PasswordDeriveBytes("hjiweykaksd", new byte[] { 0x43, 0x87, 0x23, 0x72, 0x45, 0x56, 0x68, 0x14, 0x62, 0x84 }); 
    MemoryStream ms = new MemoryStream(); 
    Aes aes = new AesManaged(); 
    aes.Key = pdb.GetBytes(aes.KeySize/8); 
    aes.IV = pdb.GetBytes(aes.BlockSize/8); 
    CryptoStream cs = new CryptoStream(ms, aes.CreateEncryptor(), CryptoStreamMode.Write); 
    cs.Write(input, 0, input.Length); 
    cs.Close(); 
    return ms.ToArray(); 
} 
private string Decrypt(string input) 
{ 
    return Encoding.UTF8.GetString(Decrypt(Convert.FromBase64String(input))); 
} 
private byte[] Decrypt(byte[] input) 
{ 
    PasswordDeriveBytes pdb = new PasswordDeriveBytes("hjiweykaksd", new byte[] { 0x43, 0x87, 0x23, 0x72, 0x45, 0x56, 0x68, 0x14, 0x62, 0x84 }); 
    MemoryStream ms = new MemoryStream(); 
    Aes aes = new AesManaged(); 
    aes.Key = pdb.GetBytes(aes.KeySize/8); 
    aes.IV = pdb.GetBytes(aes.BlockSize/8); 
    CryptoStream cs = new CryptoStream(ms, aes.CreateDecryptor(), CryptoStreamMode.Write); 
    cs.Write(input, 0, input.Length); 
    cs.Close(); 
    return ms.ToArray(); 
} 

Answer 4

No es una bonita C# aplicación de cifrado de clave simétrica en http://www.superstarcoders.com/blogs/posts/symmetric-encryption-in-c-sharp.aspx. Es compatible con AES, Triple DES y Rijndael. Cuenta con funciones fáciles de seguir en la forma:

string Encrypt(string plaintext, string password, string salt) 

Answer 5

El PO estados que tienen que pasar las credenciales a otro servicio, lo cual es un tema completamente diferente a la de almacenamiento de contraseñas y verificación.

Dependiendo de cuánto control tenga sobre el servicio de socio, o qué exponen, las mejores soluciones implican un proveedor proporcionado o enfoques estándar de la industria como Kerberos, SAML u otro token de soporte estable y seguro para transmitir confianza. Este es un tema profundo.

Pero supongamos que necesita pasar credenciales a través de Basic Auth SSL/TLS. Entonces ahora necesita almacenarlos de forma segura y reversible. Para resolver este problema, he tenido éxito con la clave secreta que se transmite utilizando una clave privada de certificado. Esto ofrece cierta protección de su secreto por parte del sistema operativo y permite a las personas OPS administrar las claves, lo cual es deseable. La cuenta utilizada para ejecutar su proceso debe tener derechos para ver la clave privada, que luego termina la cadena de confianza en el sistema operativo.

Quizás tenga que pensar en la rotación de teclas, lo que requerirá que almacene un número de versión con el texto de cifrado.

También, SecureString podría ser de interés, pero hasta que todas las API de .NET permitan que SecureString pase como parte de una credencial, muchas veces terminas con una cadena en el montón administrado que no puedes destruir.

De todos modos, esta no es una respuesta alimentada por cuchara con código, pero por experiencia, he encontrado que administrar la cadena de secretos siempre es un problema, y ​​si no puede terminar en una infraestructura reforzada como Active Directory, certificados son la segunda mejor opción.