CA5402: CreateEncryptor mit Standard-IV verwenden

Eigenschaft	Wert
Regel-ID	CA5402
Titel	Den CreateEncryptor mit dem Standard-Initialisierungsvektor verwenden.
Kategorie	Security
Fix führt zu Unterbrechungen oder bleibt funktionsfähig	Untrennbar
Standardmäßig in .NET 10 aktiviert	Nein
Anwendbare Sprachen	C# und Visual Basic

Ursache

rgbIV könnte bei Verwendung von System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor nicht der Standard sein.

Regelbeschreibung

Bei der symmetrischen Verschlüsselung muss immer ein nicht wiederholbarer Initialisierungsvektor verwendet werden, um Wörterbuchangriffe zu verhindern.

Diese Regel ähnelt CA5401, aber die Analyse kann nicht bestimmen, dass der Initialisierungsvektor definitiv der Standardwert ist.

So beheben Sie Verstöße

Verwenden Sie explizit den Standardwert rgbIV, also die Überladung von System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor, die keinen Parameter hat.

Wann sollten Warnungen unterdrückt werden?

Eine Warnung aus dieser Regel kann sicher unterdrückt werden, wenn Folgendes gilt:

• Der rgbIV-Parameter wurde von System.Security.Cryptography.SymmetricAlgorithm.GenerateIV generiert.
• Sie sind sicher, dass der rgbIV-Parameter wirklich zufällig und nicht wiederholbar ist.
• Sie sind sicher, dass der Initialisierungsvektor verwendet wird.

Unterdrücken einer Warnung

Um nur eine einzelne Verletzung zu unterdrücken, fügen Sie der Quelldatei Präprozessoranweisungen hinzu, um die Regel zu deaktivieren und dann wieder zu aktivieren.

#pragma warning disable CA5402
// The code that's violating the rule is on this line.
#pragma warning restore CA5402

Um die Regel für eine Datei, einen Ordner oder ein Projekt zu deaktivieren, legen Sie den Schweregrad auf none in der Konfigurationsdatei fest.

[*.{cs,vb}]
dotnet_diagnostic.CA5402.severity = none

Weitere Informationen finden Sie unter Vorgehensweise: Unterdrücken von Codeanalyse-Warnungen.

Pseudocodebeispiele

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] rgbIV)
    {
        AesCng aesCng  = new AesCng();
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            aesCng.IV = rgbIV;
        }

        aesCng.CreateEncryptor();
    }
}

Lösung

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod()
    {
        AesCng aesCng  = new AesCng();
        aesCng.CreateEncryptor();
    }
}