किसी .NET असेंबली

Question

में एन्क्रिप्शन कुंजी को सुरक्षित रूप से स्टोर करने के लिए कैसे करें किसी को आसानी से मेरे डेटा को पकड़ने से रोकने के लिए, मैं अपनी सेवा से डेटा एन्क्रिप्टेड फ़ाइलों (प्रतिलिपि सुरक्षा, मूल रूप से) के रूप में कैश करता हूं।

हालांकि, ऐसा करने के लिए, मुझे एनईटी असेंबली के भीतर एन्क्रिप्शन कुंजी को स्टोर करना होगा ताकि यह इन फ़ाइलों को एन्क्रिप्ट और डिक्रिप्ट कर सके।

रेड गेट के .NET रिफ्लेक्टर जैसे टूल्स के बारे में जागरूक होने से मेरा मुख्य अधिकार बाहर निकल सकता है, मुझे लगता है कि यह करने का यह एक बहुत ही सुरक्षित तरीका नहीं है ... क्या ऐसा करने के लिए कोई सर्वोत्तम अभ्यास है?

Answer 1

आपको यह तय करना होगा कि जोखिम का स्वीकार्य स्तर क्या है। ऐसा करने का कोई "सुरक्षित" तरीका नहीं है।

यदि परावर्तक का उपयोग करने वाले किसी का जोखिम, या सिस्टम का उपयोग करके असेंबली खोलना। Reflection.Assembly वर्ग और इस तरह संसाधन को पकड़ना बहुत अच्छा है, तो आपका अगला चरण शायद सर्वर से कुंजी डाउनलोड करना है जब आप शुरू करते हैं।

तब किसी को अपने कोड का उपयोग करते समय डीबग की तरह कुछ करना होगा और उस तरह की कुंजी पकड़ लेंगे। आप उन चीजों को समाप्त कर सकते हैं जो कैश किए जाते हैं और चाबियाँ स्वैप करते हैं। आप इसे बना सकते हैं ताकि व्यक्तियों के पास किसी अन्य उपयोगकर्ता से किसी उपयोगकर्ता के डेटा की सुरक्षा के लिए अपनी कुंजी हों।

आप बहुत सारी चीज़ें कर सकते हैं लेकिन यदि आपका लक्ष्य किसी को यह जानकारी डिक्रिप्ट करने में सक्षम होना है कि आप जिस मशीन पर अपनी मशीन डाल रहे हैं, उसे डिक्रिप्ट करने की क्षमता है, तो आपको पता होना चाहिए कि यह काफी असंभव है। आप वास्तव में कर सकते हैं लागत अपनी चाबियाँ/डेटा पायरेट करने के लिए बढ़ाएं; आप इसे रोक नहीं सकते।

Answer 2

आप decription नहीं रोका जा सकता है, लेकिन आप ग़लत साबित डेटा की फिर से एन्क्रिप्शन रोका जा सकता है:

जब तक आपके कोड एक कंप्यूटर दूसरों की पहँच पर चलता है, वहाँ कोई रास्ता नहीं आप इस कार्यक्रम की जांच से उन्हें रोका जा सकता है। हालांकि डिकंपलिंग और विश्लेषण लागत का समय है। जैसा कि मैक्सगुर्नसेआईआई बताता है, यह स्वीकार्य खतरे के स्तर के बारे में है।

आपके मामले में समस्या इतनी अधिक नहीं है कि एक हैकर आपके कोड को विघटित कर सकता है, लेकिन यह भी अधिक है कि वे उस डेटा को बदल सकते हैं जिसे आप सुरक्षित करना चाहते हैं (लाइसेंस का स्वामी कौन है)।

तो आप डेटा को एन्क्रिप्ट करने के लिए public key cryptography विधि का उपयोग कर सकते हैं। इस तरह हैकर पढ़ सकता है, लेकिन वह फिर से एन्क्रिप्ट नहीं कर सकता है।

Answer 3

जैसा कि मैक्स संकेत देता है, आपको खतरे के मॉडल पर विचार करने की आवश्यकता है।

आप किस तरह के हमलावरों के बारे में चिंतित हैं? (कुछ लोगों के बारे में चिंतित होना वैध है, और दूसरों के बारे में चिंतित होने के लिए इतना वैध नहीं है)। विशिष्ट श्रेणियों हो सकता है, "समर्पित व्यक्ति एक समाधान पर घंटे खर्च करने को तैयार", "जो ऑनलाइन दरारें लगाने के लिए कैसे जानता है आकस्मिक उपयोगकर्ता" "जो कार्यक्रम खरीदा गैर कंप्यूटर की समझ रखने वाले उपयोगकर्ता", आदि

अपने सटीक परिदृश्य पर निर्भर करता है समाधान अलग हो सकते हैं।

नोट करने के लिए एक दिलचस्प/उदास वस्तु यह है कि यदि आपका उत्पाद लोकप्रिय है, तो केवल एक या दो समर्पित लोगों को बैठकर इसे तोड़ने और फिर सभी के लिए पैच जारी करना पड़ता है। यह सॉफ़्टवेयर की प्रकृति है, मुझे लगता है, और यह एक अनसुलझा समस्या है जब आपका पूरा एप्लिकेशन उनकी मशीन पर चलता है।

स्पष्ट रूप से, निहितार्थ यह है कि यदि आपका एप्लिकेशन वेबसाइट के रूप में चलता है तो यह कोई मुद्दा नहीं है - यानी यह आपके नियंत्रण की मशीन पर है।

मुझे पता है कि यह एक विशेष रूप से उपयोगी उत्तर नहीं है।