1

No App.config de minha aplicação criptografei a ConnectionString, agora preciso decriptografar em runtime mas não atualizando no arquivo App.config.

Estou utilizando o seguinte código, mas o mesmo acaba alterando no arquivo perdendo a lógica de eu deixar criptografado.

var config = ConfigurationManager.OpenExeConfiguration(ConfigurationUserLevel.None);
var connectionString = (ConnectionStringsSection) config.GetSection("connectionStrings");
connectionString.ConnectionStrings["ControleBD"].ConnectionString = "Data Source=NewSource;Initial Catalog=NewCatalog;UID=NewUser;password=NewPassword";
config.Save();
ConfigurationManager.RefreshSection("connectionStrings");
5
  • Descriptografar a senha perde o sentido de ter criptografado. Seu problema é outro.
    – Maniero
    29/05/2016 às 21:35
  • O usual é criptografar apenas usuário e senha, descriptografar e usar em runtime. Você está criptografando toda a connection string, o que pode dificultar reconfiguração do ambiente (mudança de servidor, por exemplo). E por que você está atualizando a string de conexão no arquivo de configuração em runtime?
    – Caffé
    30/05/2016 às 12:25
  • 1
    Dá uma estudada neste artigo: Security Considerations (Entity Framework).
    – Caffé
    30/05/2016 às 12:37
  • @Caffé obrigado pelo link, otimo artigo. 30/05/2016 às 12:40
  • a parte da criptografia não coloquei neste trecho de código, a função estaria na atribuição da terceira linha. Minha necessidade seria apenas esconder este tipo de informação de um usuário simples. 30/05/2016 às 14:33

1 Resposta 1

1

Primeiro, você não está criptografando a senha, sequer está protegendo a mesma. afinal você pode "decompilar" a sua dll usando ferramentas como decompiler

Se você deseja proteger os seus dados sensiveis, você deve mover o conteudo da seção appSettings e connectionStrings para um arquivo separado usando o atributo file e configSource respectivamente.

O exemplo abaixo foi retirado do seguinte link: Best practices for deploying passwords and other sensitive data to ASP.NET and Azure App Service

<connectionStrings>
  <add name="ControleBD" connectionString="Data Source=NewSource;Initial Catalog=NewCatalog;UID=NewUser;password=NewPassword" providerName="System.Data.SqlClient" />
</connectionStrings>
<appSettings> 
  <!-- Informação Sensivel -->
  <add key="serviceAccount" value="account" />
  <add key="servicePassword" value="my password" />
  <!-- Informação Não Sensivel-->
  <add key="Versao" value="1.2.3.4" />
</appSettings>

neste caso, você pode criar dois arquivos, um para a string de conexão e outro para as configurações.:

\app.config ou \web.config

<connectionStrings configSource="\App_Configs\connectionStrings.config">
  <add name="ControleBD" connectionString="Data Source=NewSource;Initial Catalog=NewCatalog;UID=NewUser;password=NewPassword" providerName="System.Data.SqlClient" />
</connectionStrings>
<appSettings file="\App_Configs\appSettings.config"> 
  <add key="Versao" value="1.2.3.4" />
</appSettings>

\App_Configs\connectionStrings.config

<connectionStrings>
  <add name="ControleBD" connectionString="Data Source=NewSource;Initial Catalog=NewCatalog;UID=NewUser;password=NewPassword" providerName="System.Data.SqlClient" />
</connectionStrings>

\App_Configs\appSettings.config

<appSettings> 
  <add key="serviceAccount" value="account" />
  <add key="servicePassword" value="my password" />
</appSettings>

Então você deverá limitar o acesso a estes dois arquivos.

Agora se você deseja criptografar uma seção do web.config, então faça uso do aspnet_regiis.exe, para saber onde o mesmo está localizado, abra o Command Prompt do seu Visual Studio e digite where aspnet_regiis, no meu caso ele está localizado em:

%windir%\Microsoft.NET\Framework\v4.0.30319\aspnet_regiis.exe

então execute o aspnet_regiis passando os seguintes argumentos:

aspnet_regiis -pef "connectionStrings" 'Path Completo para o diretorio com o web.config'

Para saber mais sobre o aspnet_regiis, acesso o link: Ferramenta de registro ASP.NET IIS (Aspnet_regiis.exe)

Lembrando que caso o seu arquivo de configuração tenha um nome diferente de web.config, você deverá renomea-lo para web.config. e se deseja manter a connectionStrings em um arquivo separado, deverá move-lo apos criptografar a seção.

1
  • Considerando todo o contexto da pergunta, acredito que o AP na verdade tenha omitido do código a descriptografia da connectionstring em vez de deixá-la hardcoded como pode parecer. Ou pelo menos quero acreditar hahaha
    – Caffé
    30/05/2016 às 12:40

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .