从 TripleDES 更改 Microsoft 配置文件加密方法答案

【问题标题】：Change Microsoft Config File Encryption Method From TripleDES从 TripleDES 更改 Microsoft 配置文件加密方法
【发布时间】：2011-01-26 21:00:12
【问题描述】：

加密（“保护”）Microsoft 配置部分时，您会得到类似于以下 XML 的内容。它遵循（至少部分）XML 加密的 W3 规范。

但是，在下面的 XML 中，您会看到 EncryptedData 部分下的 EncryptionMethod 是“tripledes-cbc”。我们希望能够将其更改为更安全的替代方案，特别是 AES，它也在上述 W3 规范中指定。

在与 Microsoft 支持工程师的多次通话中，他们远未理解问题，更不用说回答问题了。有没有办法改变这种加密方式？

我之前忘了提到我们当前设置为 RsaProtectedConfigurationProvider，但似乎只有密钥是用 RSA 加密的，而数据是用 3DES 加密的。

<MiscCryptoData configProtectionProvider="someConfigProtectionProvider">
  <EncryptedData Type="http://www.w3.org/2001/04/xmlenc#Element" xmlns="http://www.w3.org/2001/04/xmlenc#">
    <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#tripledes-cbc"/>
    <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
      <EncryptedKey xmlns="http://www.w3.org/2001/04/xmlenc#">
        <EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5"/>
        <KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
          <KeyName>Rsa Key</KeyName>
        </KeyInfo>
        <CipherData>
          <CipherValue>asf78ag78asg\...cryptoyadayada...asdf8r=</CipherValue>
        </CipherData>
      </EncryptedKey>
    </KeyInfo>
    <CipherData>
      <CipherValue>zxcv6asdf35...largercryptoyadayada...u7i8o9p=</CipherValue>
    </CipherData>
  </EncryptedData>
</MiscCryptoData>

【问题讨论】：

标签： .net web-config app-config configuration-files

【解决方案1】：

我刚刚使用反射器检查了RsaProtectedConfigurationProvider，我发现您无法将tripledes-cbc 更改为其他任何东西。

因此，如果您想使用 AES 加密，则必须编写自己的 ProtectedConfigurationProvider。您可能希望使用 Reflector 为您提供一个良好的开端。

【讨论】：

谢谢！我也使用过 Reflector，但显然我走错了路。
@GaTechThomas，我在RsaProtectedConfigurationProvider.Encrypt 方法中发现了，如果有的话

【解决方案2】：

您可能想要构建一个自定义ProtectedConfigurationProvider。请参阅Implementing a Protected Configuration Provider 和How to: Build and Run the Protected Configuration Provider Example。

【讨论】：

感谢您的回答。我已经研究了自定义提供程序，虽然我们可以做到，但我们希望能够在没有自定义提供程序的情况下在配置文件中指定替代方案。在这一点上，我只想知道如果我们使用标准提供程序，EncryptedData 部分是否会出现除了 Tripledes-cbc 之外的任何内容。
.NET 的默认安装中只有两个提供程序，RsaProtectedConfigurationProvider（您当前使用的那个）和 DpapiProtectedConfigurationProvider。后者使用 ProtectedData 并且可以是特定于机器或特定于用户的。