Mejores prácticas de cadena de conexión

Question

¿Cuál es la mejor forma de administrar cadenas de conexión en una aplicación web, desde el punto de vista de la seguridad? Lo he hecho de diferentes maneras. Los he almacenado como texto sin formato web.config configurando claves. También creé una clase "Constantes" que tiene propiedades públicas de cadena de solo lectura para cada cadena de conexión.

¿Alguien tiene alguna recomendación para administrar las cadenas de conexiones de forma que no me preocupe que se descubran maliciosamente? Definitivamente estoy abierto para el cifrado.

Answer 1

puede encrypt your connection strings en su archivo web.config.

almacenar cadenas de conexión en una clase como una propiedad o una constante no es seguro. cualquiera que use un desensamblador puede ver su cadena de conexión.

La mejor manera es la configuración de cifrado.

Answer 2

Puede cifrar y descifrar las secciones de su web.config mediante el uso de la herramienta de línea de comandos aspnet_regiis:

Cifrar: aspnet_regiis -pef "connectionStrings", "c: \ carpeta \"

Descifrar: aspnet_regiis -pdf "connectionStrings", "c: \ carpeta \"

Answer 3

@vartec: no es absolutamente un SNAFU ..

IIS hecho puede leer el texto cifrado si cifra usando .N norma Mecanismo de cifrado ET que no romperá ninguna codificación UTF8 o Unicode. Microsoft también está alentando esto como una mejor práctica.

Se puede ver una muestra sobre la codificación de cadena de conexión de esta:

"Cómo: Cadenas de conexión segura cuando utiliza origen de datos Controla"

http://msdn.microsoft.com/en-us/library/dx0f3cf2.aspx

Answer 4

Si usted tiene el control total sobre el servidor también puede almacenar la cadena de conexión en su Machine.Config. Esto puede ser útil si tiene muchas aplicaciones que funcionan con el mismo servidor de base de datos.

No estoy seguro si vale la pena encriptarlo ya que primero tiene que acceder al servidor para ver el archivo machine.config. Y si su servidor se ha visto comprometido, el Encyrption no impedirá que un pirata informático extraiga las credenciales del archivo de configuración.