进程内加密与安全字符串：Data Protection + Key Rotation

进程内加密与安全字符串：Data Protection + Key Rotation 🔐🚀

---

---

0. TL;DR ✨

• 正确使用 ASP.NET Core Data Protection 的密钥持久化、静态加密与自动/手动轮换；旧密钥保留用于历史解密，零停机迁移。
• 多环境可移植方案：文件系统/Redis/Azure Blob 存 Key Ring，结合 DPAPI/DPAPI-NG、X.509、Azure Key Vault 做“密钥的密钥”（encryption at rest）。
• 双人审计 + 应急吊销：基于 IKeyManager 的 CreateNewKey / RevokeKey / RevokeAllKeys，配合审批流与审计落库。
• “安全字符串”现代实践：避免误用 SecureString；采用托管身份、外部密钥托管与最小驻留内存策略。
• 可观测性：日志 + 指标（OpenTelemetry/Meter）+ 看板，对轮换与失败做预警。📈

---

1. 背景与问题界定 🧭

• 为何加密：合规（GDPR/CCPA）、最小化泄露损失、降低横向移动风险。
• 进程内加密挑战：密钥托管（持久化与静态加密）、不中断业务的轮换、按需吊销、双人审批与可审计性。
• 目标：用 Data Protection 作为“密钥封装器”，安全、可控、可观测地管理应用层加密/签名用途的主密钥（Key Ring）。🛡️

---

2. Data Protection 快速总览 ⚙️

• 默认算法与寿命：默认 AES-256-CBC + HMACSHA256，主密钥默认 90 天轮换；旧密钥仍可解密已发数据。

• 核心对象：

  • IDataProtectionProvider / IDataProtector：保护/解保护数据
  • Key Ring：自动管理激活/过期/吊销状态
  • IKeyManager：创建/查询/吊销（线程安全）

• 配置入口：services.AddDataProtection() 返回 IDataProtectionBuilder，可级联配置存储、静态加密、寿命与算法。

2.1 总体架构 🗺️

---

3. 选型与拓扑（存储 + 静态加密）🧩

3.1 Key Ring 存储（持久化，分布式共享）

• 文件系统（单机 / 共享卷 / NFS / SMB）：PersistKeysToFileSystem()
• Redis（多实例共享）：PersistKeysToStackExchangeRedis()
• Azure Blob（云原生）：PersistKeysToAzureBlobStorage()

3.2 Key Ring 静态加密（Encryption at rest）

• Windows：ProtectKeysWithDpapi() / ProtectKeysWithDpapiNG()
• 跨平台：ProtectKeysWithCertificate(X509Certificate2)
• 云密钥管理：ProtectKeysWithAzureKeyVault(...)（Key Ring 存 Blob，落地包裹加密交给 Key Vault）

要点：存储位置与静态加密方式相互独立：一个负责“放哪儿”，一个负责“如何安全落地”。

3.3 “存储 vs 静态加密”对照图 🧯

---

4. 标准化配置清单 🧰

4.1 开发/单机（Windows + 文件系统 + DPAPI）

using Microsoft.AspNetCore.DataProtection;

builder.Services.AddDataProtection()
    .SetApplicationName("MyApp") // 跨进程/实例共享的应用名
    .SetDefaultKeyLifetime(TimeSpan.FromDays(30)) // 调整默认 90 天寿命
    .PersistKeysToFileSystem(new DirectoryInfo(@"C:\dp-keys"))
    .ProtectKeysWithDpapi(); // Windows DPAPI 加密 Key Ring

4.2 Linux/K8s（Redis + X.509）

using Microsoft.AspNetCore.DataProtection;
using Microsoft.AspNetCore.DataProtection.StackExchangeRedis;
using StackExchange.Redis;
using System.Security.Cryptography.X509Certificates;

var mux = await ConnectionMultiplexer.ConnectAsync("redis:6379"); // 推荐启用 TLS/密码
var cert = new X509Certificate2("/certs/dp-key.pfx", "P@ssw0rd");

builder.Services.AddDataProtection()
    .SetApplicationName("MyApp")
    .PersistKeysToStackExchangeRedis(mux, "DataProtection-Keys")
    .ProtectKeysWithCertificate(cert)
    .SetDefaultKeyLifetime(TimeSpan.FromDays(60));

4.3 Azure（Blob + Key Vault + 托管身份）

using Azure.Identity;
using Microsoft.AspNetCore.DataProtection;
using Microsoft.AspNetCore.DataProtection.AzureStorage.Blob;
using Microsoft.AspNetCore.DataProtection.AzureKeyVault;

var blobUri = new Uri("https://<storage>.blob.core.windows.net/dpkeys/keyring.xml");
var keyId  = new Uri("https://<kv-name>.vault.azure.net/keys/<dp-key>");
var cred   = new DefaultAzureCredential();

builder.Services.AddDataProtection()
    .SetApplicationName("MyApp")
    .PersistKeysToAzureBlobStorage(blobUri, cred) // Key Ring 在 Blob
    .ProtectKeysWithAzureKeyVault(keyId, cred);   // 用 KV 包裹加密

提示：