Come posso nascondere la mia password nella mia stringa di connessione C#?

Question

Ho la seguente stringa di connessione:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID=sa;Password=password 

(.net webservice) Questo può ovviamente essere visto semplicemente aprendo il file app.config e guardando le impostazioni di configurazione.

Quello che mi serve è un modo per impedire a un hacker di vedere la password. Ma allo stesso tempo, lasciarlo personalizzabile in modo che possa essere modificato quando distribuito su un altro database.

Answer 1

avete un certo numero di opzioni - quelli che sono a conoscenza di (in ordine di preferenza):

1. uso integrato di sicurezza (SSPI), dove non è necessario includere una password nella configurazione presentare
2. crittografare la stringa di connessione (vedi Encrypting Configuration Information Using Protected Configuration)
3. Conservare il nome utente e la password separatamente e utilizzare la formattazione delle stringhe per costruire la stringa di connessione completa,

Così, per esempio, la stringa di connessione potrebbe essere simile a questo:

Data Source=Paul-HP\MYDB;Initial Catalog=MyMSDBSQL;Persist Security Info=True;User ID={0};Password={1} 

mi piacerebbe andare per l'opzione 1, se questo non è possibile, allora l'opzione 2. Ho l'opzione 3 per completezza detto.

Hai letto Protecting Connection Information (ADO.NET)?

Answer 2

probabilmente più facile per crittografare le stringhe di connessione all'interno del web.config o app.config

Vedi How To: Encrypt Configuration Sections in ASP.NET 2.0 Using DPAPI

Answer 3

Si potrebbe crittografare la stringa di connessione - poi quando si accede la stringa di connessione, decodificarlo. Questo non è infallibile anche se poi sei bloccato con il problema di dove memorizzare la chiave per decifrare la stringa di connessione!

Answer 4

Prima di tutto, non utilizzare l'account "SA". Lascia il tuo database spalancato se qualcuno ottiene la password. Utilizzare un account personalizzato a cui è consentito solo eseguire operazioni CRUD su un database specifico.

L'unico modo per ottenere web.config è hackerare il server. E se lo hanno fatto, sei fregato comunque.

Answer 5

I Suggerisci/decodifica la stringa di connessione. Pertanto la stringa di connessione deve essere impostata manualmente.

Per la crittografia di dare un'occhiata a: http://dotnet-snippets.de/dns/encrypt-and-decrypt-strings-SID205.aspx

Per Impostazioni personalizzate un'occhiata a: http://msdn.microsoft.com/en-us/library/8eyb2ct1.aspx

Sostituire il cifrati con quella corretta in fase di esecuzione:

public static void SetAppSettingValue(string Key, string Value) 
    { 

    System.Configuration.Configuration config == ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None); 
// Add an Application Setting. 

config.AppSettings.Settings[Key].Value = Value; 

    // Save the changes in App.config file. 

    config.Save(ConfigurationSaveMode.Modified); 

    ConfigurationManager.RefreshSection("appSettings"); 
    }