将存储在文本文件中的 SecureString 转换回可读字符串

Question

我在将以前存储的 SecureString 转换回其原始字符串时遇到问题。我这样做是因为我认为最初输入密码时可能有错字。

SecureString 最初是使用以下内容创建并存储在文本文件中的：

$SecurePassword = Read-Host -Prompt "Enter password" -AsSecureString
$SecurePassword | ConvertFrom-SecureString > C:\TEMP\TEST_Secure.txt

对于我选择的应用程序（Veeam 备份），我读取了包含加密密码的文件并将其反馈给应用程序

$SecurePasswordPath = "C:\TEMP\TEST_Secure.txt"
$EncryptionKey = cat $SecurePasswordPath | ConvertTo-SecureString

Veeam 备份脚本实际上是这样读取的：

$EncryptionKey = Add-VBREncryptionKey -Password (cat $SecurePasswordPath | ConvertTo-SecureString)

我尝试了以下方法来尝试恢复密钥：

$new1 = cat $SecurePasswordPath | ConvertTo-SecureString

$Ptr = [System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($new1)
$result = [System.Runtime.InteropServices.Marshal]::PtrToStringUni($Ptr)
[System.Runtime.InteropServices.Marshal]::ZeroFreeCoTaskMemUnicode($Ptr)

结果通常是一个空白字段。

我也试过比较推荐的方法：

$new1 = cat $SecurePasswordPath | ConvertTo-SecureString
[System.Runtime.InteropServices.marshal]::PtrToStringAuto([System.Runtime.InteropServices.marshal]::SecureStringToBSTR($new1))

这些中的每一个都不会真正返回任何内容。

我担心我在创建时没有遵循正确的语法，将无法恢复原始密钥，因此无法恢复我的备份。

在这里绝望！任何帮助将不胜感激！

Answer 1

以下是提示输入SecureString 并将其作为加密标准字符串写入文本文件的方法：

Read-Host "Enter password" -AsSecureString | 
  ConvertFrom-SecureString |
  Out-File "D:\Path\EncryptedStandardString.txt"

要反转这个并获得一个SecureString 对象：

$secureString = Get-Content "D:\Path\EncryptedStandardString.txt" |
  ConvertTo-SecureString

如果您想使用 AES 而不是 DPAPI，您还需要为 ConvertFrom-SecureString 和 ConvertTo-SecureString cmdlet 提供 -Key 或 -SecureKey 参数。

如果要将SecureString解密为String对象，可以使用以下函数：

function ConvertTo-String {
  param(
    [Security.SecureString] $secureString
  )
  try {
    $bstr = [Runtime.InteropServices.Marshal]::SecureStringToBSTR($secureString)
    [Runtime.InteropServices.Marshal]::PtrToStringAuto($bstr)
  }
  finally {
    if ( $bstr -ne [IntPtr]::Zero ) {
      [Runtime.InteropServices.Marshal]::ZeroFreeBSTR($bstr)
    }
  }
}

警告：如果您使用此功能，您将绕过SecureString 对象提供的保护。