Almacenamiento de credenciales de PayPal en una aplicación web (asp.net) en un host compartido

Question

He creado una aplicación web alojada en Godaddy en un servidor compartido. Planeo usar PayPal para mis transacciones, lo que crea un problema.

En este punto, las credenciales (dirección de correo electrónico y contraseña de PayPal) están codificadas, lo que es hasta donde yo entiendo la peor solución. La única otra opción que conozco es en el archivo web.config, que de nuevo no parece particularmente seguro.

¿Puede indicarme una dirección que proporcione la seguridad deseada y trabaje en un entorno de host compartido?

Saludos Alexandros

Answer 1

En un servidor compartido, el método más fácil, al menos a primera vista sería para cifrar la contraseña y almacenarla en su base de datos.

La implementación podría realizarse con cualquiera que sea su mecanismo de cifrado. Luego, desde una perspectiva clave, tiene varias opciones para almacenarlo, con diferentes niveles de seguridad, realmente depende de cuán "paranoico" sea con esto.

1. simplemente almacenar la clave de cifrado en el web.config como una aplicación Ajuste (menos seguro, pero el acceso al web.config es limitado y otras cosas sensibles ya está ahí, como contraseñas DB)
2. Crear una sección de configuración personalizada para web.confg, luego encripta y almacena los valores allí. (Esto es más seguro, ya que su clave no se puede leer mediante texto sin formato)
3. Almacene la clave de cifrado en una tabla de base de datos, y limite que la tabla que se consultará sea solo una cuenta de usuario única. (Depende de tus pensamientos, esta podría ser la solución más portátil, sin embargo ...)

Answer 2

¿Podrías almacenarlos en el archivo web.config, y luego encriptar el archivo web.config?

O al menos, encriptarlos individualmente en el web.config?

Answer 3

Creo que tiene las siguientes opciones.

1. archivo web.config Cifrar

2. tienda en la base de datos utilizando cifrado

3. Crear una biblioteca de clases y crear una clase que contendrá esta información. Ahora en el entorno compartido , se agregará como dll dentro de la carpeta Bin.

Answer 4

Las opciones son:

1. API contraseña + firma de API. Tendrá para almacenarlo en algún lugar como texto sin formato o algo descifrable, tal vez sea archivo o base de datos.

2. API contraseña + certificado API. Deberá verificar si el proveedor de servicios de alojamiento permite a sus usuarios establecer conexiones SSL a otros servidores (es decir, CURLOPT_SSLCERT en PHP). Si puede, use .

Sin embargo, independientemente de la forma que elija, si un hacker puede entrar en su cuenta, él/ella será capaz de recuperar su contraseña o su archivo cert.

p.s. tenga en cuenta que los términos "contraseña de API", "firma de API" y "certificado de API" son aquellos a los que se refieren en las referencias de la API de PayPal y en los manuales del desarrollador.

Answer 5

Como no tiene acceso al servidor, deberá ejecutar el comando para encriptar las secciones de su web.config a través del código. Puede hacer esto creando una página web simple y ejecutarla en la carga de la página o haciendo clic en un botón. A continuación se muestra el bloque de código que deberá ejecutar, solo ligeramente modificado desde la fuente que tomé de Microsoft (http://msdn.microsoft.com/en-us/library/system.configuration.sectioninformation.protectsection.aspx). Aunque ... este código en realidad no funcionó para mí. No es que el código sea incorrecto, sino porque mi cuenta no tiene permiso para el almacén de claves Rsa, sus resultados pueden variar. Si esto no funciona, entonces sigue leyendo para la opción 2.

' Get the current configuration file.' 
    Dim config As System.Configuration.Configuration = Web.Configuration.WebConfigurationManager.OpenWebConfiguration(Nothing) 

    ' Get the section.' 
    Dim section As AppSettingsSection = CType(config.GetSection("appSettings"), AppSettingsSection) 

    ' Protect (encrypt) the section.' 
    section.SectionInformation.ProtectSection("RSAProtectedConfigurationProvider") 

    ' Save the encrypted section.' 
    section.SectionInformation.ForceSave = True 
    config.Save(ConfigurationSaveMode.Full) 

Crédito: He encontrado que enlazan con el código a través de Need Encrypted connection string and stmp information in the web.config.

Opción 2: Por razones de seguridad, aún desea utilizar la clave del equipo, de modo que si alguien logra descargar su archivo web.config, no podrá descifrar su configuración. Una forma de hacerlo es codificar a mano todas las configuraciones utilizando la clave del equipo y descifrarlas cada vez que necesite usarlas, o puede almacenarlas en el caché cada vez que inicie una aplicación.

Para cifrado y descifrar un valor de clave de aplicación se puede utilizar un código como éste:

Dim encryptedString As String = Convert.ToBase64String(ProtectedData.Protect(System.Text.UTF8Encoding.UTF32.GetBytes("Testing"), Nothing, DataProtectionScope.LocalMachine)) 
    Dim decryptedString As String = System.Text.UTF8Encoding.UTF32.GetString(ProtectedData.Unprotect(Convert.FromBase64String(encryptedString), Nothing, DataProtectionScope.LocalMachine)) 

    Response.Write(encryptedString + " - " + decryptedString)