CA5402: CreateEncryptor'ı varsayılan IV ile kullanma

  • Makale
Özellik Değer
Kural Kimliği CA5402
Başlık Varsayılan IV ile CreateEncryptor kullan
Kategori Güvenlik
Hataya neden olan veya bozulmayan düzeltme Hataya neden olmayan
.NET 8'de varsayılan olarak etkin Hayır

Neden

rgbIV kullanılırken System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptorvarsayılan olmayabilir.

Kural açıklaması

Simetrik şifreleme, sözlük saldırılarını önlemek için her zaman tekrarlanamayan bir başlatma vektöru kullanmalıdır.

Bu kural CA5401'e benzer, ancak analiz başlatma vektörlerinin kesinlikle varsayılan olduğunu belirleyemez.

İhlalleri düzeltme

Varsayılan rgbIV değeri açıkça kullanın, yani parametresi olmayan öğesinin aşırı yüklemesini System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor kullanın.

Uyarıların ne zaman bastırılması gerekiyor?

Aşağıdakiler durumunda bu kuraldan gelen bir uyarıyı engellemek güvenlidir:

Uyarıyı gizleme

Yalnızca tek bir ihlali engellemek istiyorsanız, kuralı devre dışı bırakmak ve sonra yeniden etkinleştirmek için kaynak dosyanıza ön işlemci yönergeleri ekleyin.

#pragma warning disable CA5402
// The code that's violating the rule is on this line.
#pragma warning restore CA5402

Bir dosya, klasör veya projenin kuralını devre dışı bırakmak için, yapılandırma dosyasındaki önem derecesini noneolarak ayarlayın.

[*.{cs,vb}]
dotnet_diagnostic.CA5402.severity = none

Daha fazla bilgi için bkz . Kod analizi uyarılarını gizleme.

Sahte kod örnekleri

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] rgbIV)
    {
        AesCng aesCng  = new AesCng();
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            aesCng.IV = rgbIV;
        }

        aesCng.CreateEncryptor();
    }
}

Çözüm

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod()
    {
        AesCng aesCng  = new AesCng();
        aesCng.CreateEncryptor();
    }
}