C＃中的DPAPI密码加密并保存到数据库中。然后使用密钥对其进行解密

Question

我尝试使用UTF8算法和SHA256进行密码加密，但建议不要使用它们。相反，我被建议使用DPAPI。我浏览了一些谷歌的示例代码并不清楚。你能帮我解决DPAPI算法吗？

Answer 1

您可以使用ProtectedData课程访问DPAPI。 有两种加密模式：

• CurrentUser：受保护的数据与当前用户相关联。只有在当前用户上下文下运行的线程才能取消保护数据。
• LocalMachine：受保护的数据与计算机上下文相关联。计算机上运行的任何进程都可以取消保护数据。此枚举值通常用于在不允许不受信任的用户访问的服务器上运行的特定于服务器的应用程序中。

对字符串进行编码并返回可以保存在数据库中的Base64字符串：

public static string Protect(string stringToEncrypt, string optionalEntropy, DataProtectionScope scope)
{
    return Convert.ToBase64String(
        ProtectedData.Protect(
            Encoding.UTF8.GetBytes(stringToEncrypt)
            , optionalEntropy != null ? Encoding.UTF8.GetBytes(optionalEntropy) : null
            , scope));
}

解码Base64字符串（您之前保存在数据库中）：

public static string Unprotect(string encryptedString, string optionalEntropy, DataProtectionScope scope)
    {
        return Encoding.UTF8.GetString(
            ProtectedData.Unprotect(
                Convert.FromBase64String(encryptedString)
                , optionalEntropy != null ? Encoding.UTF8.GetBytes(optionalEntropy) : null
                , scope));
    }

您需要记住加密仅对机器（以及用户，如果您选择CurrentUser加密模式）有效，因此需要在同一服务器上执行加密/解密。

如果您计划在负载平衡环境see this article下使用DPAPI。

如果您需要更多信息，请与我们联系。

Answer 2

根据MSDN，DPAPI“使用用户或计算机凭据加密或解密数据”。我认为它使用DES或AES算法。

但是对于密码，在保存到DB之前，应始终使用带盐的单向散列函数（MD5，SHA1 ...）。即使黑客可以访问您的服务器，他也永远无法解密用户的密码。

所以，坚持使用SHA256解决方案。记得在哈希之前添加一些盐。