web.configを暗号化するポイントは何ですか？ ASP.NET

Question

Oi、一部のベンダーは私の上司にweb.configの暗号化が大きなセキュリティホールであるとは伝えていません。これは私にとってバカのように聞こえる。つまり、誰かがサーバーを妥協した場合、私たちはどうにかしていませんか？

Answer 1

暗号化はあなたが保護されていることを意味するものではありません。復号化に必要な秘密鍵はサーバーに保存されているため、サーバーが侵害された場合、web.configを復号化することができます。

web.configの接続文字列セクションのみを暗号化します。特に、開発環境では、接続文字列に簡単にアクセスできないようにするのに役立ちます（は、多くの場合、本番環境のセキュリティよりはるかに安全ではありません。）。

暗号化は、レイヤードセキュリティのほんの一部です。これは決して機密情報を保護するための最終的なソリューションではありません。

Answer 2

ASP.netに最近公開されたセキュリティホールにより、リモートユーザーはweb.configを含むWebルート内のファイルにサーバー全体にアクセスすることなくアクセスできました。さらに、Web.configにログイン情報があると、あるサーバーを侵害して別のサーバーを侵害する可能性があります。

Answer 3

並べ替え私の場合、私は共有ホスティングアカウントでホストします。だから、多くの人が私のアカウントとそこに保存されているファイルにアクセスできます。

私は個人的にはあまり気にしません。しかし、もし誰かが気になっていたら、その情報にアクセスすることができます。サーバーを所有していても、企業の場合は、アクセスできる人がたくさんいる可能性があります。

重要なデータについては、それを暗号化することは意味があります。

Answer 4

@Joeltさんが提案したように、ASP.NETには最近セキュリティの問題があり、人々がルートWebなどのファイルにアクセスできるようになりました。今、この問題は長い間存在していた可能性があります。あるいは、今のところ秘密の欠陥があるかもしれません。だから、誰も知らない人たちはいくつかのリート・パンクを除いています...つまり、今はすべて脆弱です。 ASP.NETチーム（そしてその前の1〜2週間のセキュリティスタッフ）がこれまでの欠陥を発表してから、どれくらいのことが野生で起こったのでしょうか？どれくらいの人がそれを悪用した？

これは一般的な考えです。なんらかの理由で、人々がWeb.configを含むファイルにリモートからアクセスできる場所に欠陥があると、あなたのデータを知ることができます。

今、キッカーはこれです。だから、誰かが私のDB名、DBのip addyとDBのパスワードを知っているかもしれません..そうですか？彼らは私の内部DBにアクセスする必要があります...そこには幸運があります。しかし、私のweb.configはそこに私のTwitterユーザー名パスワードを持っているかもしれませんか？ （Ding！ライトがちょうどオンになった）。私のサードパーティのAPIのユーザ名/パスワード。

実際のセキュリティ上の問題点は、IMOです。

私の会社のTwitterユーザー名/パスワードを覚えてからtwitterアカウントを破損した場合、私はそれが嫌いです。