私のWPFアプリケーションとC＃ライブラリから機密データを読み取る

Question

私はC＃ライブラリとそれを使用するWPFアプリケーションを試してみました。平文の文字列パスワードをSecureStringに置き換えようとしています。私はSecureStringを他のライブラリ/ Webサービスとやりとりするためのいくつかの場所で通常の文字列に変換し直す必要がありますが、それを行う量を最小限に抑えたいと思っています。私はまたそれを正しく行う方法についてthis articleに従おうとしています。どのような文字列が自分のコードからメモリ内に浮かんでいるかを監視する簡単な方法はありますか？どのくらいの弱点があるのか​​を知りたいのですが、言い換えれば、機密データがメモリ上のプレーンテキストにあるという点では私のコードにあります。

Answer 1

あなたが確認できることの1つは、プレーンテキストのパスワードがライブラリーによって維持されている場合、弱い参照を追加してそれが消えるまでにかかる時間を確認することです。強制的なガベージコレクトを実行するのに役立つかどうかを確認することができます。しかし、生産コードでは、特にサーバー上で強制GCを実行しないでください。

しかし、それは問題の半分に過ぎません。ほとんどの場合、他のライブラリがあなたの文字列で行うことに依存します。パスワードを他の文字列に埋め込み、それを参照し続けると、パスワードを制御することなくメモリが保護されなくなります。