¿Cómo puedo ocultar mi contraseña en mi cadena de conexión C#?

Question

tengo la siguiente cadena de conexión:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID=sa;Password=password 

(.net servicio web) Obviamente, esto puede ser visto simplemente abriendo el archivo app.config y mirando a los ajustes de configuración.

Lo que necesito es una forma de que un pirata informático no pueda ver la contraseña. Pero, al mismo tiempo, déjelo personalizable para que pueda modificarse cuando se despliegue en otra base de datos.

Answer 1

usted tiene un número de opciones - los que yo sepa (en orden de preferencia):

1. uso integrado de seguridad (SSPI) en el que no es necesario incluir una contraseña en la configuración presentar
2. Cifrar la cadena de conexión (ver Encrypting Configuration Information Using Protected Configuration)
3. tienda el nombre de usuario y contraseña por separado y utilizar el formato de cadenas para construir la cadena de conexión completa,

Así que para ejemplo, la cadena de conexión podría tener este aspecto:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID={0};Password={1} 

me gustaría ir a la opción 1, si eso no es posible, entonces la opción 2. He opción 3 para la integridad de mencionar.

¿Has leído Protecting Connection Information (ADO.NET)?

Answer 2

probablemente más fácil para cifrar las cadenas de conexión dentro del web.config o app.config

Ver How To: Encrypt Configuration Sections in ASP.NET 2.0 Using DPAPI

Answer 3

Usted puede cifrar la cadena de conexión - a continuación, cuando se accede a la cadena de conexión, descifrarlo. Sin embargo, esto no es a prueba de tontos, ya que entonces estás atascado con el problema de dónde almacenar la clave para descifrar la cadena de conexión.

Answer 4

Antes que nada, no use la cuenta "SA". Deja su base de datos abierta si alguien obtiene la contraseña. Use una cuenta personalizada que solo tiene permiso para realizar operaciones CRUD en una base de datos específica.

La única forma de obtener web.config es piratear su servidor. Y si lo han hecho, estás jodido de todos modos.

Answer 5

I Sugerir/descifrar la cadena de conexión. Por lo tanto, la cadena de conexión debe establecerse manualmente.

Para el cifrado echar un vistazo a: http://dotnet-snippets.de/dns/encrypt-and-decrypt-strings-SID205.aspx

para los parámetros de echar un vistazo a: http://msdn.microsoft.com/en-us/library/8eyb2ct1.aspx

Vuelva a colocar la cifra con la correcta en tiempo de ejecución:

public static void SetAppSettingValue(string Key, string Value) 
    { 

    System.Configuration.Configuration config == ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None); 
// Add an Application Setting. 

config.AppSettings.Settings[Key].Value = Value; 

    // Save the changes in App.config file. 

    config.Save(ConfigurationSaveMode.Modified); 

    ConfigurationManager.RefreshSection("appSettings"); 
    }