依一般資安準則,在設定檔使用明碼儲存連線字串是不被允許的,連線字串加密是基本要求。

雖然用反組譯.NET組件破解加密字串不是什麼難事,但駭客至少得先找到檔案拿到組件檔(DLL)才能動手,相較之下明碼連線字串就簡單多了,用關鍵字掃掃硬碟、備份媒體就能抓出一大把,不費吹灰之力蒐集到資料庫帳號密碼,很可怕吧!

ASP.NET 2.0起,web.config內建connectionStrings加密功能,但它綁死機器,必須解決Web Farm機器間的同步,且只能透過aspnet_regiis工具程式操作,部署管理較為麻煩。因此,我還是偏好自己處理連線字串加密。

ADO.NET時代,SqlConnection/OracleConnection由自己建立,連線字串怎麼取也由程式決定,要加密很簡單。到EF時代,連線字串由元件背後的機制處理,new BlahEntities()就連上資料庫做事,開發者不需要也不容易介入取得連線字串的過程。早期的EF版本還有個可傳入連線字串的DbContext建構式,到後來,DbContext只剩一個無參數的公開建構式,使用時想指定連線字串都沒辦法。

所幸,這問題不難克服,利用partial class技巧在專案裡多加個BBDPEntities.cs(記得namespace要跟EF的BBDPEntities相同),補上吃連線字串參數的建構式,搞定。

namespace BBDPWeb.Models
{
    public partial class BBDPEntities
    {
        public BBDPEntities(string cnStr) : base(cnStr)
        {
        }
    }
}

加密解密演算法很多,就連線字串而言,不必動用什麼高深莫測堅不可破的演算法,避免帳號密碼被人一眼看穿就夠。以下是簡單的DES加解密函式範例:

    //很陽春的加解密函式,改寫自http://goo.gl/sos1J
    //程式以示意為主,只適用小型字串處理,未包含參數檢核,防錯邏輯
 
    public class MyCipher
    {
        byte[] rgbKey = new byte[8];
        byte[] rgbIv = new byte[8];
        DESCryptoServiceProvider des = new DESCryptoServiceProvider();
        public MyCipher(string key)
        {
            var hash = MD5.Create().ComputeHash(Encoding.UTF8.GetBytes(key));
            Array.Copy(hash, 0, rgbKey, 0, 8);
            Array.Copy(hash, 8, rgbIv, 0, 8);
        }
        
        public string Encrypt(string rawString)
        {
            using (var ms = new MemoryStream())
            {
                using (var cs = new CryptoStream(ms, 
                    des.CreateEncryptor(rgbKey, rgbIv), CryptoStreamMode.Write))
                {
                    byte[] buff = Encoding.UTF8.GetBytes(rawString);
                    cs.Write(buff, 0, buff.Length);
                }
                return Convert.ToBase64String(ms.ToArray());
            }
        }
 
        public string Decrypt(string encString)
        {
            using (var ms = new MemoryStream(Convert.FromBase64String(encString)))
            {
                using (var cs = new CryptoStream(ms, 
                    des.CreateDecryptor(rgbKey, rgbIv), CryptoStreamMode.Read))
                {
                    using (var sr = new StreamReader(cs))
                    {
                        return sr.ReadToEnd();
                    }
                }
            }
        }
    }

為DbContext增加了傳入連線字串的建構式,也準備好解密函式,接著只需將建立DbContext的程序改成:由設定檔讀取加密後的連線字串、解密、使用連線字串建立DbContext,如此就做到連線字串加密,提升系統安全性。另外奉送一則我常用的小技巧:啟用加密後,修改或比對連線主機、帳號、密碼設定會變得很麻煩,而這在測試開發階段屬於不必要的負擔。故我習慣讓程式聰明一點,遇到連線字串是明碼就直接用,若是加密版就解開再用,明碼加密兩相宜,「測試開發用明碼,正式上線再加密」,魚與熊掌兼得。加入一點關鍵字比對,就可以實現這點。

        static MyCipher cipher = new MyCipher("加密金鑰");
        //使用統一的靜態函式建立DbContext物件,避免自行建構
        public static BBDPEntities CreateDbContext()
        {
            //設定檔之連線字串應加密
            var cnStr = ConfigurationManager.ConnectionStrings["BBDPEncCnnStr"].ConnectionString;
            //自動偵測,支援加密及未加密的連線字串,測時不加密,上線時再加密
            //在連線字串找到metadata字樣表示為加密字串
            if (!cnStr.Contains("metadata")) 
            {
                cnStr = cipher.Decrypt(cnStr);
            }
            var ent = new BBDPEntities(cnStr);
            return ent;
        }

要加密連線字串一樣靠MyCipher,var encCnnStr = cipher.Encrypt("metadata=res://*/BBDP……"),加密結果是一長串Base64編碼,用它替換掉原本的明碼連線字串即可。實務上多半會寫個通用加解密工具,輸入加密Key跟來源字串,按鈕執行加密或解密,用起來比較方便。

把這招學起來,以後別再讓帳號密碼脫光光躺在設定檔做日光浴囉!


Comments

Be the first to post a comment

Post a comment


80 - 15 =