5

Hola tengo un proyecto Web API Core 2.2 y en el appsettings.Development tengo varios conectionstring como puedo encriptar para que la clave no se vea en texto plano.

Aqui mi appsettings.Development

{
  "Logging": {
  "LogLevel": {
  "Default": "Debug",
  "System": "Information",
  "Microsoft": "Information"
  }
 },
 "ConnectionStrings": {
 "ClinicDatabase": "Data Source=(localdb)\\Dev;Initial Catalog=Clinic; Trusted_Connection=True;",   
 "Damar": "Data Source=localhost;Initial Catalog=Test01;user id=sa;password=1234;MultipleActiveResultSets=true;",
 "Country": "Data Source=192.168.1.5;Initial Catalog=Test02;user id=sa;password=1234;MultipleActiveResultSets=true;"
 }
}
3
  • 1
    echale un vistazo a esta pagina, quizás es lo que estes buscando. docs.microsoft.com/es-es/aspnet/core/security/…
    – gogoru
    Commented el 27 nov. 2019 a las 12:53
  • 1
    Puedes usar las variables de entorno para información que no quieras que se vea en texto plano, el problema es que cada vez que cambie tendrás que compilar y subir una versión
    – J4ime
    Commented el 27 nov. 2019 a las 15:34
  • Para ayudarte mejor ¿cual es el destino final de la aplicacion en PROD? en algun ambiente cloud (Azure, AWS)? on-premise IIS? Porque hay varias alternativas. Asi orientamos mejor la respuesta Commented el 2 dic. 2020 a las 23:22

2 respuestas 2

2

Comento un poco de como era antes y como puedes realizarlo ahora son secrets, quitarlo del server con Azure KeyVault o incluso seguir utilizando las variables de entornos. Si bien no es encriptar nuestras configuraciones es la forma que tenemos de resguardarlas en el server de produccion o inluso quitarlas de alli y transmitirlas/compartirlas de manera segura

¿Cómo era antes...? encriptar secciones de web.config

Para resguardar configuraciones en ASP.NET con web.config realizábamos la encriptación de secciones (o incluso los mas kamikazes utilizaban la jerarquía de archivos de configuración que venia con .NET Frameworks). Pero bueno lo recomendado en entornos PROD (Producción) era encriptar las secciones (Y ni hablar la configuración que había que hacer cuando teníamos un cluster de servidores web de producción donde había que compartir la misma key machine para que DPAPI pueda encriptar/desencriptar). Aquí también teníamos las transformaciones de ese tipo de archivo que luego no lo queríamos ni bien que son los .xml (nos ayudaban e incluso hoy nos ayudan estas transformaciones para proyectos con esta tecnología)

Ahora... NET 5 / Core secrets & variables de entornos...

En nuestros nuevos proyectos NET5 (o anteriores NET Core) tenemos los archivos de configuración que son archivos json (y los merge de json son muy buenos y faciles de entender y manipular), nuestros queridos appSettings.*.json.
Es muy fácil utilizarlos. Y se lleva muy bien con el versionado de código. Pero allí es el primer problema de no tener dentro de nuestros repositorios de código, credenciales o "datos sensibles". Para eso en modo de desarrollo tenemos los "secrets", que básicamente es una extensión/modulo de NET que nos ayuda a "mantener separado" configuraciones sensibles. Que se integra a nuestro IDE (o también se lo puede generar/configurar/administrar por linea de comandos)

Alli en el enlace anterior puedes verlo y es recomendable que utilices esto en modo desarrollo. Lo habilitas con un simple click en VS2019 o por linea de comando. Y se guarda el archivo de configuracion en un ubicación "especial" para el usuario (los secretos por usuario)

¿Y en PROD?

Lo que comente mas arriba verás que también se puede realizar en PROD (o sea tener un secreto por el usuario que ejecuta la aplicación). Un ejemplo general y sencillo es aplicaciones on-premise que se ejecutan en el IIS se ejecutan con el usuario del App Pool (todas los app pool en el IIS tienen un usuario que se genera en cada servidor como APP POOL{nombre del apppool}, o puedes modificar el usuario con que se ejecuta cambiando la propiedad AppPoolIdentity en el App Pool (asi es un usuario especifico de la aplicacion o que te asignaron el area de Operaciones/Infraestructura).Casi siempre lo tenia asi proyectos que recuerde (no utiice con el usuario que se genera el IIS sino uno creado en el Active Directory para la app, por los permisos que se requiere). Pero si este es tu ambiente avisanos y profundizamos.

Entonces... es igual que el entorno DEV pero en PROD

  • Allí podrás definir variables de secret por linea de comandos (asi no estas con archivos json)

    dotnet user-secrets set "ConnectionStrings:ClinicDatabase" "ejemplo de valor"

  • O podrías ir al archivo especifico que en windows es %APPDATA%\Microsoft\UserSecrets<user_secrets_id>\secrets.json > Mas info Como funciona el administrador de secretos En IIS hay un issue de donde lee que lo puedes ver aqui, pero es en

  • C:\WINDOWS\system32\config\systemprofile\AppData\Roaming y allí deberías colocar la carpeta del secret (el ID que genera con el archivo secret.json dentro) y darle el permiso que tu app lo pueda leer (el usuario del APP POOL). Si este es tu escenario avisanos y profundizamos

¿No esta encriptado? No. Pero puedes utilizar Azure Key-vault

Y como veras en entorno DEV, este archivo no esta encriptado (pero no esta dentro del repositorio, ni en los archivos de deploy de tu app/api/etc.) y esta resguarda en un lugar seguro solo accesible para administradores o personas con el permiso adecuado.

Pero si aun quieres encriptar, puedes probar utilizar Azure KeyVault, que es resguardar externamente TODO (y literalmente es todo, credenciales, certificados etc). Pero allí tendrías que tener una cuenta en Azure (es mínimo los precios) pero es una alternativa valida para sacar "de PROD" (e incluso de las maquinas de DEV) todos los datos sensibles.

Lo bueno, que se integra a variables de ENTORNOS (Enviroment Variables)

Esto que comente mas arriba de secrets y appSettings se integra a variables de entornos (eso que ya conocemos en IIS y entornos windows) o sea "SE INTEGRA", se puede utilizar tambien para sobreescribir. Agregando esto "AddEnvironmentVariables" al realizar el build de nuestra configuracion de la app Ejemplo

var builder = new ConfigurationBuilder()
        .SetBasePath(env.ContentRootPath)
        .AddJsonFile("appsettings.json", optional: true, reloadOnChange: true)
        .AddJsonFile($"appsettings.{env.EnvironmentName}.json", optional: true)
        .AddEnvironmentVariables();
    Configuration = builder.Build();

Y alli podremos sobre escribir cualquier configuración Encontre un post relacionado (del 2016) pero valido

y de ultima! Un proveedor de configuracion "personalizado"

Pero esta parte ya es muy interna, pero se podría construir uno que si encripte/descripte. Y alli tendriamos que evaluar la estrategia para armarlo. Solo lo comento que se puede extender (como todo en .NET). Por ejemplo:

Espero que te sirva de ayuda o guía.

-1

lo primero que debes tener en cuenta es como encriptar y desencriptar teniendo en cuenta que hay encripción simétrica y asimétrica para el primer caso puedes recuperar la cadena original teniendo la clave de encripción para el segundo caso no es posible y también debes tener en cuenta como modificar los parámetros del appsettings.

Si lo que necesitas es que no se vea en texto plano puedes usar codificación base 64 así para que no te compliques mucho.

// Asi podrias codificar facilmente usando string base 64
public static string Codificar(this string _cadena)
{
  string result = string.Empty;
  byte[] codificada = System.Text.Encoding.Unicode.GetBytes(_cadena);
  result = Convert.ToBase64String(codificada );
  return result;
}

// y asi lo decodificarías

public static string Decodificar(this string _cadena)
{
  string result = string.Empty;
  byte[] decodificada = Convert.FromBase64String(_cadena);
  //result = System.Text.Encoding.Unicode.GetString(decodificada , 0, decodificada .ToArray().Length);
  result = System.Text.Encoding.Unicode.GetString(decodificada );
  return result;
}

Si lo que buscas es mayor seguridad para tu cadena de conexión esto te puede servir:

https://elburgues.wordpress.com/2010/03/13/encriptacion-simetrica-en-c/

para lo segundo en esta url encontraras información de como modificar en tiempo de ejecución los valores del appsetings

introducir la descripción del enlace aquí

1
  • Codificar no es encriptar, sugiero que remuevas tu respuesta. o la actualices por metodos de encripcion/desencripcion Commented el 23 ene. 2020 a las 21:06

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.