CA5350: не используйте ненадежные алгоритмы шифрования

Свойство	Значение
Идентификатор правила	CA5350
Заголовок	Не используйте ненадежные алгоритмы шифрования
Категория	Безопасность
Исправление является критическим или не критическим	неразрывный
Включен по умолчанию в .NET 10	Нет
Применимые языки	C# и Visual Basic

Примечание.

Это предупреждение последний раз обновлялось в ноябре 2015 г.

Причина

Алгоритмы шифрования, такие как TripleDES , и алгоритмы хэширования, такие как SHA1 и RIPEMD160 , считаются ненадежными.

Эти алгоритмы шифрования не обеспечивают безопасность в той же степени, что более современные аналоги. Криптографические алгоритмы хэширования SHA1 и RIPEMD160 обеспечивают меньшую устойчивость к конфликтам, чем более современные алгоритмы хэширования. Алгоритм шифрования TripleDES предоставляет меньшее число битов защиты, чем более современные алгоритмы шифрования.

Описание правила

Ненадежные алгоритмы шифрования и функции хэширования еще используются сегодня по ряду причин, но они не должны использоваться для обеспечения конфиденциальности данных, которые они защищают.

Правило срабатывает при обнаружении алгоритмов 3DES, SHA1 или RIPEMD160 в коде и выдает предупреждение для пользователя.

Устранение нарушений

Используйте более криптографически надежные варианты.

• Для шифрования TripleDES используйте шифрование Aes .

• Для функций хэширования SHA1 или RIPEMD160 используйте алгоритмы из семейства SHA-2 (например, SHA512, SHA384 и SHA256).

Когда лучше отключить предупреждения

Отключайте предупреждение из этого правила, когда для необходимого уровня защиты данных не требуется гарантия безопасности.

Отключение предупреждений

Если вы просто хотите отключить одно нарушение, добавьте директивы препроцессора в исходный файл, чтобы отключить и повторно включить правило.

#pragma warning disable CA5350
// The code that's violating the rule is on this line.
#pragma warning restore CA5350

Чтобы отключить правило для файла, папки или проекта, задайте его серьезность none в файле конфигурации.

[*.{cs,vb}]
dotnet_diagnostic.CA5350.severity = none

Дополнительные сведения см. в разделе Практическое руководство. Скрытие предупреждений анализа кода.

Примеры псевдокода

На момент написания этой статьи следующий пример псевдокода иллюстрирует шаблон, обнаруживаемый этим правилом.

Нарушение хэширования SHA-1

using System.Security.Cryptography;
...
var hashAlg = SHA1.Create();

Решение.

using System.Security.Cryptography;
...
var hashAlg = SHA256.Create();

Нарушение хэширования RIPEMD160

using System.Security.Cryptography;
...
var hashAlg = RIPEMD160Managed.Create();

Решение.

using System.Security.Cryptography;
...
var hashAlg = SHA256.Create();

Нарушение шифрования TripleDES

using System.Security.Cryptography;
...
using (TripleDES encAlg = TripleDES.Create())
{
  ...
}

Решение.

using System.Security.Cryptography;
...
using (AesManaged encAlg = new AesManaged())
{
  ...
}