7

Eu vejo muito comumente o uso de strings para armazenar senhas na memória do programa, não só no .Net, mas em todas as linguagens de programação que já usei.

A princípio, eu não vejo um problema nisso. Mas como eu sei que o ecossistema do .Net é ENORME, me surgiu essa curiosidade: Existe algum tipo otimizado para guardar senhas, ou o string é o único? E se existe, vale a pena? Ou strings já são suficientes?

2

1 Resposta 1

8

O tipo SecureString é descrito pela documentação da seguinte forma:

Representa texto que deve ser mantido confidencial. É encriptado para privacidade quando está a ser usado, e apagado da memória do computador quando deixa de ser necessário.

Este tipo implementa a interface IDisposable e é através do método Dispose que se indica que deve ser eliminada da memória.

Várias classes do .NET que lidam com passwords, incluindo o PasswordBox do WPF, incluem métodos ou propriedades que utilizam esta classe.

O objetivo desta classe é impedir que as passwords sejam guardadas no disco (swap) e tornar mais difícil (embora não impossível) que um atacante com acesso à memória do computador consiga descobrir qual o valor da password.

Naturalmente, esta classe só tem interesse se a password nunca sequer chegar a estar disponível como uma string ou byte[] convencional.

Também relevante: https://stackoverflow.com/questions/141203/when-would-i-need-a-securestring-in-net (em inglês)

2
  • Acho que entendi... só vale a pena se você cria a senha caractere-por-caractere, por exemplo, já que transformar uma string em SecureString não seria útil já que você já tem uma string "insegura" na memória. É isso? Commented 26/02/2014 às 15:24
  • 1
    @AndréLeria Na prática, sim. No entanto, se já tiver um API que mantenha a string em memória, pode na mesma ter interesse converter em SecureString, caso a SecureString seja usada por muito tempo. Nesse caso, o coletor de lixo poderá talvez libertar a string e deixar a SecureString viva pelo resto do tempo. Mas o ideal é tê-la em SecureString o tempo todo.
    – luiscubal
    Commented 26/02/2014 às 15:29

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .