CA5402: CreateEncryptor'ı varsayılan IV ile kullanma

Özellik	Değer
Kural Kimliği	CA5402
Başlık	Varsayılan IV ile CreateEncryptor kullan
Kategori	Güvenlik
Düzeltme bozucu ya da bozmayan olabilir	Kesintisiz
.NET 10'da varsayılan olarak etkin	Hayır
Geçerli diller	C# ve Visual Basic

Neden

rgbIV kullanılırken System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptorvarsayılan olmayabilir.

Kural açıklaması

Simetrik şifreleme, sözlük saldırılarını önlemek için her zaman tekrarlanamayan bir başlatma vektöru kullanmalıdır.

Bu kural CA5401'e benzer, ancak analiz başlatma vektörlerinin kesinlikle varsayılan olduğunu belirleyemez.

İhlalleri düzeltme

Varsayılan rgbIV değerini açıkça kullanın, yani parametresi olmayan System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor aşırı yüklemesini kullanın.

Uyarıların ne zaman bastırılması gerekiyor?

Aşağıdakiler durumunda bu kuraldan gelen bir uyarıyı engellemek güvenlidir:

• rgbIV parametresi System.Security.Cryptography.SymmetricAlgorithm.GenerateIV tarafından oluşturuldu.
• Parametrenin rgbIV gerçekten rastgele ve tekrarlanamayan bir parametre olduğundan eminsiniz.
• Başlatma vektörlerinin kullanıldığından eminsiniz.

Uyarıyı gizleme

Yalnızca tek bir ihlali engellemek istiyorsanız, kuralı devre dışı bırakmak ve sonra yeniden etkinleştirmek için kaynak dosyanıza ön işlemci yönergeleri ekleyin.

#pragma warning disable CA5402
// The code that's violating the rule is on this line.
#pragma warning restore CA5402

Bir dosya, klasör veya projenin kuralını devre dışı bırakmak için, yapılandırma dosyasındaki önem derecesini noneolarak ayarlayın.

[*.{cs,vb}]
dotnet_diagnostic.CA5402.severity = none

Daha fazla bilgi için bkz . Kod analizi uyarılarını gizleme.

Sahte kod örnekleri

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] rgbIV)
    {
        AesCng aesCng  = new AesCng();
        Random r = new Random();

        if (r.Next(6) == 4)
        {
            aesCng.IV = rgbIV;
        }

        aesCng.CreateEncryptor();
    }
}

Çözüm

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod()
    {
        AesCng aesCng  = new AesCng();
        aesCng.CreateEncryptor();
    }
}