Veracode漏洞加密問題

Question

我正面臨着Veracode發現的加密安全問題。請檢查以下並幫助我解決這個問題。

System.Security.Cryptography.MD5CryptoServiceProvider crypthandler = 
    new System.Security.Cryptography.MD5CryptoServiceProvider(); 

Answer 1

MD5被認爲是不安全的或「破碎的」哈希函數。假設你得到一個CWE 327（使用破碎或危險的密碼算法），你可以通過更新SHA-2系列散列函數來解決這個問題。

我會推薦使用SHA-256，SHA-384或SHA-512進行未來打樣。

實施例：

using (SHA512CryptoServiceProvider crypthandler = new SHA512CryptoServiceProvider()) 
{ 
    ... 
} 

Answer 2

損壞的或有風險密碼算法的使用（CWE ID 327） 說明 使用一個破碎或危險的密碼算法的是，可能導致 敏感信息泄露的不必要的風險。

MD5CryptoServiceProvider hashmd5 = new MD5CryptoServiceProvider(); 
SHA512CryptoServiceProvider hashmd5 = new SHA512CryptoServiceProvider();    

參考以下鏈接：

http://bestanswers.in/2016/06/30/fix-veracode-flaw-cwe-id-327-use-broken-risky-cryptographic-algorithm/