CA5373: No usar la función de derivación de clave obsoleta

Propiedad	Valor
Identificador de la regla	CA5373
Título	No usar la función de derivación de clave obsoleta
Categoría	Seguridad
El arreglo es problemático o no problemático	Sin interrupción
Habilitado de forma predeterminada en .NET 10	No
Idiomas aplicables	C# y Visual Basic

Causa

Los métodos de derivación de claves débiles criptográficamente System.Security.Cryptography.PasswordDeriveBytes y/o Rfc2898DeriveBytes.CryptDeriveKey se usan para generar una clave.

Descripción de la regla

Esta regla detecta la invocación de métodos de derivación de claves débiles System.Security.Cryptography.PasswordDeriveBytes y Rfc2898DeriveBytes.CryptDeriveKey. System.Security.Cryptography.PasswordDeriveBytes usaba un algoritmo débil PBKDF1. Rfc2898DeriveBytes.CryptDeriveKey no utiliza el recuento de iteraciones ni el valor salt del objeto Rfc2898DeriveBytes, lo que lo hace débil.

Cómo corregir infracciones

La derivación de claves basada en contraseña debe usar el algoritmo PBKDF2 con hash SHA-2. Rfc2898DeriveBytes.GetBytes se puede usar para conseguirlo.

Cuándo suprimir las advertencias

Desactive la advertencia si se revisa y acepta cuidadosamente el riesgo asociado con el uso de PBKDF1.

Supresión de una advertencia

Si solo quiere suprimir una única infracción, agregue directivas de preprocesador al archivo de origen para deshabilitar y volver a habilitar la regla.

#pragma warning disable CA5373
// The code that's violating the rule is on this line.
#pragma warning restore CA5373

Para deshabilitar la regla de un archivo, una carpeta o un proyecto, establezca su gravedad en none del archivo de configuración.

[*.{cs,vb}]
dotnet_diagnostic.CA5373.severity = none

Para obtener más información, consulte Procedimiento para suprimir advertencias de análisis de código.

Ejemplos de pseudocódigo

Infracción

En el momento de redactar este artículo, el ejemplo de pseudocódigo siguiente muestra el patrón que esta regla detecta.

using System;
using System.Security.Cryptography;
class TestClass
{
    public void TestMethod(Rfc2898DeriveBytes rfc2898DeriveBytes, string algname, string alghashname, int keySize, byte[] rgbIV)
    {
        rfc2898DeriveBytes.CryptDeriveKey(algname, alghashname, keySize, rgbIV);
    }
}

Solución

using System;
using System.Security.Cryptography;
class TestClass
{
    public void TestMethod(Rfc2898DeriveBytes rfc2898DeriveBytes)
    {
        rfc2898DeriveBytes.GetBytes(1);
    }
}