存儲密鑰和密碼的安全方法，用於asp.net

Question

存儲網站密鑰和/或密碼的最佳做法是什麼？這些密鑰適用於各種第三方Web服務。將它們放在Web.config文件或數據庫中，還是以某種方式進行加密最好？

Answer 1

假設您的數據庫無法從外部訪問，或者您已將其正確鎖定，這將是存儲密鑰的首選方式。這使您的所有應用程序都能從相同的密鑰/密碼存儲中獲取，從而使更改變得非常快速和簡單。

Answer 2

您可以將加密的值存儲在.config文件中，並且ASP.NET 2.0將在運行時解密它們。

您的配置看起來是這樣的：

<configSections> 
    <section 
     name="sampleSection" 
     type="System.Configuration.SingleTagSectionHandler" 
    /> 
</configSections> 

<MySecrets 
    FavoriteMusic="Disco" 
    FavoriteLanguage="COBOL" 
    DreamJob="Dancing in the opening ceremonies of the Olympics" 
/> 

，然後運行在命令行下，在相同的目錄中的配置文件：

aspnet_regiis -pef MySecrets . 

從K.斯科特·艾倫：

http://odetocode.com/Blogs/scott/archive/2006/01/08/2707.aspx

Answer 3

取決於如何經常值改變。如果他們永遠不會改變，那麼我會把它們放在你的源代碼中。

我會遠離存儲Web.Config中更改的數據，因爲更改它會強制重新啓動應用程序池。

我的投票是將它們加密存儲在數據庫中，併爲值的改變提供一種簡單的方法（例如，將值存儲在緩存中，並在用戶更改時對其進行刷新）。