Unterstützung computerweiter Richtlinien für den Schutz von Daten in ASP.NET Core

Von Rick Anderson

Bei der Ausführung unter Windows bietet das System zum Schutz von Daten eine eingeschränkte Unterstützung zum Festlegen einer computerweiten Standardrichtlinie für alle Apps, die den Schutz von Daten in ASP.NET Core nutzen. Der Grundgedanke ist, dass Administrator*innen möglicherweise eine Standardeinstellung ändern möchten, z. B. die verwendeten Algorithmen oder die Schlüssellebensdauer, ohne jede App auf dem Computer manuell aktualisieren zu müssen.

Warnung

Systemadministratoren können die Standardrichtlinie festlegen, aber nicht erzwingen. App-Entwickler*innen können jeden Wert jederzeit durch einen Wert ihrer Wahl überschreiben. Die Standardrichtlinie wirkt sich nur auf Apps aus, bei denen die Entwickler*innen keinen expliziten Wert für eine Einstellung angegeben haben.

Festlegen der Standardrichtlinie

Um die Standardrichtlinie festzulegen, können Administratoren bekannte Werte in der Systemregistrierung unter dem folgenden Registrierungsschlüssel festlegen:

HKLM\SOFTWARE\Microsoft\DotNetPackages\Microsoft.AspNetCore.DataProtection

Wenn Sie ein 64-Bit-Betriebssystem verwenden und das Verhalten von 32-Bit-Apps beeinflussen möchten, vergessen Sie nicht, das Wow6432Node-Äquivalent des obigen Schlüssels zu konfigurieren.

Die unterstützten Werte sind unten dargestellt.

Wert	type	Beschreibung
EncryptionType	Zeichenfolge	Gibt an, welche Algorithmen für den Schutz von Daten verwendet werden sollen. Der Wert muss „CNG-CBC“, „CNG-GCM“ oder „Managed“ lauten und wird unten ausführlicher beschrieben.
DefaultKeyLifetime	DWORD	Gibt die Lebensdauer für neu generierte Schlüssel an. Der Wert wird in Tagen angegeben und muss >= 7 sein.
KeyEscrowSinks	Zeichenfolge	Gibt die Typen an, die für die Schlüsselhinterlegung verwendet werden. Der Wert ist eine durch Semikolon getrennte Liste von Schlüsselhinterlegungssenken, wobei jedes Element in der Liste der assemblyqualifizierte Name eines Typs ist, der IKeyEscrowSink implementiert.

Verschlüsselungstypen

Wenn für EncryptionType „CNG-CBC“ angegeben wird, wird das System so konfiguriert, dass es eine symmetrische Blockchiffre im CBC-Modus für Vertraulichkeit und HMAC für die Authentizität mit von Windows CNG bereitgestellten Diensten verwendet (weitere Informationen finden Sie unter Angeben benutzerdefinierter Windows CNG-Algorithmen). Die folgenden zusätzlichen Werte werden unterstützt, die jeweils einer Eigenschaft des CngCbcAuthenticatedEncryptionSettings-Typs entsprechen.

Wert	type	Beschreibung
EncryptionAlgorithm	Zeichenfolge	Der Name eines symmetrischen Blockchiffrealgorithmus, der von CNG verstanden wird. Dieser Algorithmus wird im CBC-Modus geöffnet.
EncryptionAlgorithmProvider	Zeichenfolge	Der Name der CNG-Anbieterimplementierung, die den Algorithmus EncryptionAlgorithm erzeugen kann.
EncryptionAlgorithmKeySize	DWORD	Die Länge des Schlüssels (in Bits), der für den symmetrischen Blockchiffrealgorithmus abgeleitet werden soll.
HashAlgorithm	Zeichenfolge	Der Name eines von CNG verstandenen Hashalgorithmus. Dieser Algorithmus wird im HMAC-Modus geöffnet.
HashAlgorithmProvider	Zeichenfolge	Der Name der CNG-Anbieterimplementierung, die den Algorithmus HashAlgorithm erzeugen kann.

Wenn für EncryptionType „CNG-GCM“ angegeben wird, wird das System so konfiguriert, dass es eine symmetrische Blockchiffre im Galois/Counter-Modus für Vertraulichkeit und Authentizität mit von Windows CNG bereitgestellten Diensten verwendet (weitere Informationen finden Sie unter Angeben benutzerdefinierter Windows CNG-Algorithmen). Die folgenden zusätzlichen Werte werden unterstützt, die jeweils einer Eigenschaft des CngGcmAuthenticatedEncryptionSettings-Typs entsprechen.

Wert	type	Beschreibung
EncryptionAlgorithm	Zeichenfolge	Der Name eines symmetrischen Blockchiffrealgorithmus, der von CNG verstanden wird. Dieser Algorithmus wird im Galois-/Counter-Modus geöffnet.
EncryptionAlgorithmProvider	Zeichenfolge	Der Name der CNG-Anbieterimplementierung, die den Algorithmus EncryptionAlgorithm erzeugen kann.
EncryptionAlgorithmKeySize	DWORD	Die Länge des Schlüssels (in Bits), der für den symmetrischen Blockchiffrealgorithmus abgeleitet werden soll.

Wenn für EncryptionType „Managed“ angegeben wird, wird das System so konfiguriert, dass es einen verwalteten SymmetricAlgorithm-Algorithmus für Vertraulichkeit und einen KeyedHashAlgorithm-Algorithmus für Authentizität verwendet (weitere Informationen finden Sie unter Angeben benutzerdefinierter verwalteter Algorithmen). Die folgenden zusätzlichen Werte werden unterstützt, die jeweils einer Eigenschaft des ManagedAuthenticatedEncryptionSettings-Typs entsprechen.

Wert	type	Beschreibung
EncryptionAlgorithmType	Zeichenfolge	Der assemblyqualifizierte Name eines Typs, der SymmetricAlgorithm implementiert.
EncryptionAlgorithmKeySize	DWORD	Die Länge des Schlüssels (in Bits), der für den symmetrischen Verschlüsselungsalgorithmus abgeleitet werden soll.
ValidationAlgorithmType	Zeichenfolge	Der assemblyqualifizierte Name eines Typs, der KeyedHashAlgorithm implementiert.

Wenn EncryptionType nicht NULL oder leer ist, löst das System zum Schutz der Daten beim Start eine Ausnahme aus.

Warnung

Wenn eine Standardrichtlinieneinstellung mit Typnamen (EncryptionAlgorithmType, ValidationAlgorithmType, KeyEscrowSinks) konfiguriert wird, müssen die betreffenden Typen für die App verfügbar sein. Dies heißt, dass für Apps, die auf Desktop-CLR ausgeführt werden, die Assemblys, die diese Typen enthalten, im globalen Assemblycache (GAC) vorhanden sein müssen. Für ASP.NET Core Apps, die unter .NET Core ausgeführt werden, müssen die Pakete installiert werden, die diese Typen enthalten.