Si estoy encriptando la sección de cadena de conexión, cualquier persona que tenga el archivo web.config puede volver a descifrar la información.Cifrado de cadena de conexión, ¿cuál es la idea?
No hay ninguna clave de contraseña que se conoce sólo a mí o algo similar ....
¿Cuál es la idea aquí ?? Cualquiera que tendrá que web.config con VS, será capaz de descifrar la información ...
no consigo la idea ...
Supone erróneamente que cualquiera puede descifrar el archivo web.config. Una vez que la sección del archivo de configuración está encriptada, solo se puede descifrar en la misma máquina (o la máquina que tiene la misma misma clave - esto es para la agricultura web).
Por lo general, es bastante fácil descargar el web.config real de forma remota (a través de vulnerabilidades). Pero el usuario malicioso no tendrá tenga su clave y no podrá ser capaz de descifrar el archivo (o secciones con datos confidenciales).
El punto aquí es que tienes que confiar en el hoster de tu sitio, es decir, que la clave confidencial no se distribuirá.
respuesta agradable y limpia a mi pregunta. Gracias –
no sé si la herramienta aspnet_regiis.exe utiliza claves para encriptar o desencriptar web.config. Pero Si se almacena en el web.config, será descifrado por cualquier persona que tenga aspnet_regiis utlility instalado pero si está almacenado en machine.config o en la carpeta .Net Framework de la computadora de lo que nadie descifraría.
Generalmente se coloca en machine.config o secure windows storage. ** Nunca ** está almacenado en web.config sí mismo – oleksii
gracias por aclararme. –
Puede especificar el proveedor de cifrado, pero el predeterminado es el proveedor de RSA. Hay una clave utilizada, pero es 'secreta'. Entonces alguien necesitaría privilegios para ejecutar aplicaciones en su servidor, o acceso irrestricto al sistema de archivos para desencriptar su web.config.
Este (especialmente el paso 2) habla de ello:
sólo se puede desencriptar el valor si se tiene acceso a la máquina donde el web.config es, o conocer la clave de equipo. Tendría que estar totalmente comprometido para que alguien lo tenga. – hatchet
gracias hacha: Eso me ayudó a entender. –
Mi consejo sería leer la documentación: http://msdn.microsoft.com/en-us/library/53tyfkaw(v=VS.100).aspx y luego hacer una pregunta más específica. Su pregunta es tan vaga que no tiene respuesta. –