ASP.NET Core 数据加解密的一些坑

最新推荐文章于 2024-07-22 07:58:20 发布
最新推荐文章于 2024-07-22 07:58:20 发布
阅读量2.5k 收藏
点赞数

点击蓝字

关注我

ASP.NET Core 给我们提供了自带的Data Protection机制，用于敏感数据加解密，带来方便的同时也有一些限制可能引发问题，这几天我就被狠狠爆了一把2_05.png

640?wx_fmt=gif

我的场景

我的博客系统有个发送邮件通知的功能，因此需要配置一个邮箱账号，让程序去用该账号像管理员或用户发送邮件。这就牵涉到如何安全存储账户密码的问题了。作为有节操的程序员，我们当然不能像国内众多平台一样存储明文密码到数据库。在这个场景里，我们也没法用HASH存储密码，因为发邮件是系统后台自己完成的，不会要求用户输入密码进行HASH运算之后与数据库存储的HASH对比。因此，我首先想到的就是用AES这样的对称加密算法，在数据库里存储加密后的密文，由程序根据Key去解密，然后使用该账号发送邮件。

不想重复造轮子

在设计一个功能之前，我通常会先查阅资料，看看是否有框架自带的功能可以完成需求。于是，ASP.NET Core自带的Data Protection引起了我的注意。

冗长的官方文档大家可以自己去看，这里我做一下总结：

使用Data Protection API的好处在于：

  1. 淘汰传统的MachineKey。

  2. 无需自己去设计加密算法，直接使用框架提供的，由专业的微软保证安全的算法即可。

  3. 无需自己管理密钥，默认情况下框架会自动生成以及选择对应的存储方式。

  4. 密钥默认情况每90天自动更替一次。

  5. 编程方式简单，通常情况下无需深入了解原理即可完成需求。

  6. 保留灵活性和拓展性，允许自定义算法、密钥存储等步骤。

有关Data Protection的详细介绍，可以看官方文档：

https://docs.microsoft.com/en-us/aspnet/core/security/data-protection/introduction?view=aspnetcore-2.2

Data Protection 默认用的算法就是AES，可以满足我的需要。

加解密过程

框架帮我们隐藏复杂的算法过程之后，我们只要简单3部，就能完成加解密。

640?wx_fmt=png

通常的实践是：在Startup里添加DataProtection服务

public void ConfigureServices(IServiceCollection services)

{

    services.AddDataProtection();

    // ...

}

然后创建一个类似这样的Service供系统其他地方加解密数据。

public class EncryptionService

{

    private readonly IDataProtectionProvider _dataProtectionProvider;

    private const string Key = "cxz92k13md8f981hu6y7alkc";


    public EncryptionService(IDataProtectionProvider dataProtectionProvider)

    {

        _dataProtectionProvider = dataProtectionProvider;

    }


    public string Encrypt(string input)

    {

        var protector = _dataProtectionProvider.CreateProtector(Key);

        return protector.Protect(input);

    }


    public string Decrypt(string cipherText)

    {

        var protector = _dataProtectionProvider.CreateProtector(Key);

        return protector.Unprotect(cipherText);

    }

}

我用该方法，加密了邮箱密码，并存储到数据库。然后更改了对应的代码从数据中成功解密，并在自己机器上调试完成发送邮件的功能，没有问题。于是我部署到了生产环境……

坑来了

生产环境解密数据库中的密文时发生了异常2_05.png

640?wx_fmt=png

System.Security.Cryptography.CryptographicException: The key {bd424a84-5faa-4b97-8cd9-6bea01f052cd} was not found in the key ring.

经过研究，这是因为，ASP.NET Core在不同机器上运行的时候，会生成不同的Key用来加密数据，而我数据库里的密文是用开发机的Key加密的，和服务器的Key不一样。因此尝试解密的时候，找不到加密用的Key，就产生了这个异常。

ASP.NET Core 可以将Key保存在注册表、用户profile、Azure KeyVault、Azure 存储账户、文件系统等多种位置。

在Azure App Service下，Key被保存在了%HOME%\ASP.NET\DataProtection-Keys文件夹里。这个文件夹会非常神奇的自动同步到App Service的其他Instance下。

有兴趣的猿可以在Kudu工具里看到这个文件夹：

640?wx_fmt=png

因此要解决不同环境Key不一致的问题，只需要找一个一致的存储位置即可。但这并不能解决问题！因为默认情况下，每90天会重新生成一个新的Key，这样数据库里的密文如果不更新的话，又会失效。2_05.png

另外，ASP.NET Core表单使用的AntiForgeryToken也使用这套机制加密。因此如果你自己部署了多个instance的服务器（而不是用App Service去弹性扩充），就会导致每台服务器的key不同，用户提交表单会验证失败。2_05.png

640?wx_fmt=gif

解决方法

虽然我们可以做到用统一的位置保存Key，也能指定自动刷新周期，但我并不建议这样做。因为这套机制只适用于加密短时效的数据，并不是针对被持久化到数据库里的数据而设计的。所以在这种场景下，我们还是得自己写一个加解密的服务。

先（很不要脸的）从微软官方文档里拷一对AES加解密函数：

加密

private static byte[] EncryptStringToBytes_Aes(string plainText, byte[] key, byte[] iv)

{

    if (plainText == null || plainText.Length <= 0)

        throw new ArgumentNullException(nameof(plainText));

    if (key == null || key.Length <= 0)

        throw new ArgumentNullException(nameof(key));

    if (iv == null || iv.Length <= 0)

        throw new ArgumentNullException(nameof(iv));

    byte[] encrypted;


    using (var aesAlg = Aes.Create())

    {

        aesAlg.Key = key;

        aesAlg.IV = iv;


        var encryptor = aesAlg.CreateEncryptor(aesAlg.Key, aesAlg.IV);

        using (var msEncrypt = new MemoryStream())

        {

            using (var csEncrypt = new CryptoStream(msEncrypt, encryptor, CryptoStreamMode.Write))

            {

                using (var swEncrypt = new StreamWriter(csEncrypt))

                {

                    swEncrypt.Write(plainText);

                }

                encrypted = msEncrypt.ToArray();

            }

        }

    }


    return encrypted;

}

解密

private static string DecryptStringFromBytes_Aes(byte[] cipherText, byte[] key, byte[] iv)

{

    if (cipherText == null || cipherText.Length <= 0)

        throw new ArgumentNullException(nameof(cipherText));

    if (key == null || key.Length <= 0)

        throw new ArgumentNullException(nameof(key));

    if (iv == null || iv.Length <= 0)

        throw new ArgumentNullException(nameof(iv));


    string plaintext;

    using (var aesAlg = Aes.Create())

    {

        aesAlg.Key = key;

        aesAlg.IV = iv;


        var decryptor = aesAlg.CreateDecryptor(aesAlg.Key, aesAlg.IV);

        using (var msDecrypt = new MemoryStream(cipherText))

        {

            using (var csDecrypt = new CryptoStream(msDecrypt, decryptor, CryptoStreamMode.Read))

            {

                using (var srDecrypt = new StreamReader(csDecrypt))

                {

                    plaintext = srDecrypt.ReadToEnd();

                }

            }

        }


    }


    return plaintext;

}

定义一个EncryptionService

为了方便使用，加密结果我喜欢输出为string类型

public class EncryptionService

{

    private readonly KeyInfo _keyInfo;


    public EncryptionService(KeyInfo keyInfo = null)

    {

        _keyInfo = keyInfo;

    }


    public string Encrypt(string input)

    {

        var enc = EncryptStringToBytes_Aes(input, _keyInfo.Key, _keyInfo.Iv);

        return Convert.ToBase64String(enc);

    }


    public string Decrypt(string cipherText)

    {

        var cipherBytes = Convert.FromBase64String(cipherText);

        return DecryptStringFromBytes_Aes(cipherBytes, _keyInfo.Key, _keyInfo.Iv);

    }


    // 微软那两个加解密函数...

}

其中KeyInfo设计成一个单独的类，用来灵活的让用户选择赋值byte[]数组还是string类型的Key以及初始向量(IV)

public class KeyInfo

{

    public byte[] Key { get; }

    public byte[] Iv { get; }


    public string KeyString => Convert.ToBase64String(Key);

    public string IVString => Convert.ToBase64String(Iv);


    public KeyInfo()

    {

        using (var myAes = Aes.Create())

        {

            Key = myAes.Key;

            Iv = myAes.IV;

        }

    }


    public KeyInfo(string key, string iv)

    {

        Key = Convert.FromBase64String(key);

        Iv = Convert.FromBase64String(iv);

    }


    public KeyInfo(byte[] key, byte[] iv)

    {

        Key = key;

        Iv = iv;

    }

}

注册到DI容器

services.AddTransient(ec => new EncryptionService(new KeyInfo("45BLO2yoJkvBwz99kBEMlNkxvL40vUSGaqr/WBu3+Vg=", "Ou3fn+I9SVicGWMLkFEgZQ==")));

其中的Key和IV可以通过KeyInfo的无参构造函数获得。自己保存下来以后，就可以一直用这一对Key了，保证之后的加解密数据都是一致的。

使用方式

private readonly EncryptionService _encryptionService;


public HomeController(EncryptionService encryptionService)

{

    _encryptionService = encryptionService;

}


public IActionResult Index()

{

    var str = "Hello";

    var enc = _encryptionService.Encrypt(str);

    var dec = _encryptionService.Decrypt(enc);


    return Content($"str: {str}, enc: {enc}, dec: {dec}");

}

640?wx_fmt=png 640?wx_fmt=png

总结

ASP.NET Core 自带的Data Protection API非常安全，使用方便，也比较灵活。但要注意Key存储以及定时刷新，只适用短时效的加密。对于长时间保存的固定密文，可以自己实现一个加解密服务。

完整的案例代码参见我的GitHub:

https://github.com/EdiWang/DotNet-Samples/tree/master/AspNet-AES-Non-DPAPI


dotNET跨平台
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
ASP.NET C# 通过URL加密解密传输数据
Johnson的专栏
12-03 6670
需求 使用HTML模板发送邮件，邮件中含有一个链接，点击链接打开浏览器，完成相应功能。 分析 链接使用http://www.******.com?id=123456&name=Nicholas这种URL后面加连接字符串的形式。 问题 问号后面的字符串是明文，不能传输一些敏感数据，并且容易遭到篡改。 解决方法 将问号后面的字符串加密，需要的时候再解密。 使用html模板发送电子邮件在
Asp.Net Core Identity中IdentityUser对象的PasswordHash解析
就在昨天之技术点滴
05-23 1730
PasswordHash的组成说明 （一） 概述 Asp.Net Core Identity中的IdentityUser表中，PasswordHash默认是一长串的Base64格式的字符串，目前版本称为V3，而Asp.Net Identity中的版本称为V2。 比如，在网页注册页面输入的密码Ss_123，可能生成的PasswordHash为：AQAAAAEAACcQAAAAEHfLUrXi8Zh9fMzc6PC4b0q1JzQYhMoVMlTUFtJnIuMhMKfuOqw+tVz/1pXg0jzHg
ASP.NET C# URL加密解密
weixin_30466421的博客
05-02 70
using System.Security.Cryptography;using System.IO;using System.text; /// <summary> /// 加密 /// </summary> /// <param name="str"></param> /// &...
ASP.NET Core 中的对字符串进行加密和解密
最新发布
dotNET跨平台
07-22 69
1. 引言ASP.NET Core 数据保护提供加密 API，用于使用包括密钥管理、密钥轮换等在内的目的密钥对字符串进行加密和解密。可以通过使用 Windows DPAPI 加密或以纯文本形式安全地存储密钥，但它不适用于 Web 应用程序，因为它依赖于使用 DPAPI 来加密或解密它。我们将在这篇博文中更详细地讨论，敬请期待！2. 什么是数据保护？数据保护提供了我们简介中提到的加密 API，用于使...
ASP.NET Core负载均衡Session共享
qq_42799562的博客
01-15 1058
负载均衡，很直白的说，就是：某一个服务，由多台服务器通过负载均摊后由多台机器作为服务器对该服务做出响应。其中最为困扰就是Session共享了，处理起来特麻烦。尤其让人吐血的是，透明替换啊，简直颠覆了我对程序认识。通过一番痛苦挣扎，终于解决！于是乎，就来简单记录下吧。一共三步：使用Session->Redis存储Session->统一不同机器之间的MachineKey。不同于缓存的是，Session记住需要保证是当前会话的一个状态，而缓存就相对比较简单了，如我需要一个key值，那我直接去缓存服务.
asp.net core 使用中间件拦截请求和返回数据，并对数据进行加密解密。
热门推荐
a123_z的博客
06-28 1万+
GitHub demohttps://github.com/zhanglilong23/Asp.NetCore.Demo 本项目使用中间件拦截请求数据，并对请求数据解密。 访问接口成功后拦截返回数据，然后将返回数据加密后返回。 其中log4net部分不再赘述（demo中有介绍） 将Post方法中Body中的数据进行AES解密 将返回数据进行AES加密 1：自定义中间件，并默认实现Inv...
Android 关于RSA加密 前后端加密结果不一致的问题
herooo1991的博客
12-01 909
RSA加密
【ASP.NET编程知识】.net core使用MD5加密解密字符串.docx
05-15
ASP.NET Core 使用 MD5 加密解密字符串 在 ASP.NET Core 中，使用 MD5 算法来加密和解密字符串是非常重要的一步。MD5（Message-Digest Algorithm 5）是一种常用的哈希算法，用于将任意长的数据转换为一个固定长度的...
asp.net core常见的4种数据加密算法
10-15
在ASP.NET Core中，可以使用`System.Security.Cryptography`命名空间下的`DES`类实现DES和3DES的加解密操作。例如，在代码中创建一个静态类`DesHelper`，设置密钥和初始化向量，并提供加密和解密的方法。 1.2 AES...
ASP.NET Core 数据保护（Data Protection）上篇
01-02
前言  ...  数据安全往往是开发人员很容易忽略的一个部分，包括我自己。近两年业内也出现了很多因为安全问题导致了很多严重事情发生，所以...在 ASP.NET Core 中，为数据保护相关提供了一批新的 API，包括加密解密机
【ASP.NET编程知识】.NET Core结合Nacos实现配置加解密的方法.docx
05-15
.NET Core 结合 Nacos 实现配置加解密的方法是指在 ASP.NET Core 应用程序中使用 Nacos 作为配置中心，并对敏感的配置信息进行加解密。该方法可以保护敏感信息不被泄露，并且可以灵活地扩展各种加解密方式。 在 ...
探讨.NET Core中实现AES加密和解密以及.NET Core为我们提供了什么方便！
weixin_34194702的博客
04-28 1316
前言 对于数据加密和解密每次我都是从网上拷贝一份，无需有太多了解，由于在.net core中对加密和解密目前全部是统一了接口，只是做具体的实现，由于遇到过问题，所以将打算基本了解下其原理，知其然足矣，知其所以然那就达不到了，利用AES加密更加安全，上一篇园友又提出，所以借着这个机会刚好用到加密和解密，同时我也已将项目中DES加密已替换为AES，在这里介绍一下。 AES加密介绍 高级加密标准（...
aes加密解密算法_加密-使用AES算法解密
cunchi8090的博客
07-20 1530
aes加密解密算法 You can find plenty of algorithms on the Internet that providethe Encryption - Decryption functionality. One of them is the AES algorithm. AES stands for "Advanced Encry...
asp.net中machineKey的作用
Henry_Wu001的专栏
02-23 3069
refs:http://blog.csdn.net/liuqiao0327/article/details/54018922http://bitoftech.net/2014/09/24/decouple-owin-authorization-server-resource-server-oauth-2-0-web-api/（Step 5: Hosting the Authorization Se...
.NetCore token signature验证
weixin_33915554的博客
05-30 678
using Manjinba.Dynamics.Domain.Common;using Manjinba.Dynamics.Domain.Models.ResponseBase;using Manjinba.Dynamics.Infrastructure.Cache.Redis.Implement;using Manjinba.Dynamics.Infrastructure.Cache.Redis...
服务器配置，负载均衡时需配置MachineKey
liuqiao0327的专栏
01-04 2418
Asp.Net应用程序中为什么要MachineKey？如何生成MachineKey？如果你的Asp.Net程序执行时碰到这种错误：“验证视图状态 MAC 失败。如果此应用程序由网络场或群集承载，请确保 配置指定了相同的 validationKey 和验证算法。不能在群集中使用 AutoGenerate。”那么说明你没有让你的应用程序使用统一的machineKey，那么machineKey的作用是什
ASP.NET Core(C#) 字符串常用处理转换的扩展方法工具类
weixin_42098295的博客
08-08 235
本文主要介绍ASP.NET Core(C#)中，字符串常用的处理方法(包括去除字符中html标签方法、字符串转成字节、HtmlEncode、HtmlDecode、字符串转成Unicode、字符串相关判断方法、判断是否邮件字符串、判断是否url地址、字符串转换成其它数据类型等方法)，封装成扩展方法工具类，以及相关示例代码。 原文地址：ASP.NET Core(C#) 字符串常用处理转换的扩展方法工具类 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值