.NET 中缓存数据的安全性

Question

我缓存了一个通过 C# ASP .NET 4.0 Web App [大约 50000 行 32 列] 从 SQL Server 2005 获取的 DataTable。

平均缓存在客户端。

我想知道 Cache 中的 DataTable 是安全的还是不安全的？

如果比不安全

1. 如何直接从缓存中获取该数据并查看 [不是由我的 Web 应用程序作为非开发人员查看]
2. 如何保护数据。

Answer 1

数据与服务器和 Web 应用程序一样安全。

如果有人对盒子有物理访问权（或通过 RDP），他们总是可以导致内存转储并直接从内存中读取值。

根据其编写方式，应用程序可能会公开完整的缓存。

如果不考虑其中任何一个，您可以认为缓存是安全的。

---

更新：

看到您在谈论客户端 - 客户端的没有可以被认为是完全安全的。客户端可以物理访问他们的机器，因此可以进行内存转储和任意数量的其他技巧（包括直接内存检查）。

如果客户端不需要所有数据，则只共享所需的最低限度。不要坚持下去。

Answer 2

如果您指的是 HttpContext.Cache，那么该数据在内存中并且对于您的应用程序来说是本地的。除非您有意提供 API 来执行此操作，否则您的网络服务器已被入侵，否则无法从您的应用程序外部任意查询它。

如果您的网络服务器遭到入侵，黑客拥有管理员访问权限，他们可以访问进程内存，因此您的数据可用。但是，此时黑客可能可以访问您的连接字符串等，并且可以更有趣来攻击您的数据库（比查看进程内存更软的目标）。

Answer 3

您可以利用 DPAPI（数据保护 API），例如使用 ProtectedMemory Class

• 文章：How to: Use Data Protection （框架3.0）

.

using System;
using System.Security.Cryptography;

public class MemoryProtectionSample
{

    public static void Main()
    {
// Create the original data to be encrypted (The data length should be a multiple of 16).

        byte [] secret = { 1, 2, 3, 4, 1, 2, 3, 4, 1, 2, 3, 4, 1, 2, 3, 4 };

// Encrypt the data in memory. The result is stored in the same same array as the original data.
        ProtectedMemory.Protect( secret, MemoryProtectionScope.SameLogon );

// Decrypt the data in memory and store in the original array.
        ProtectedMemory.Unprotect( secret, MemoryProtectionScope.SameLogon );
    }

}