CA5390：請勿使用硬式編碼加密金鑰

文章
02/15/2024

屬性	值
規則識別碼	CA5390
標題	請勿使用硬式編碼加密金鑰
類別	安全性
修正程式是中斷或非中斷	不中斷
預設在 .NET 8 中啟用	No

原因

keySystem.Security.Cryptography.AesCcm或 System.Security.Cryptography.AesGcm 建構函式、System.Security.Cryptography.SymmetricAlgorithm.Key屬性或或 rgbKey 方法System.Security.Cryptography.SymmetricAlgorithm.CreateDecryptor的參數System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor是由下列其中一項硬式編碼：

位元組陣列。
System.Convert.FromBase64String.
的所有多載 System.Text.Encoding.GetBytes。

根據預設，此規則會分析整個程式代碼基底，但這是可設定的。

檔案描述

為了確保對稱演算法成功，只有傳送者和接收者才知道祕密金鑰。當金鑰是硬式編碼時，您就可以輕鬆地探索到此金鑰。即使使用編譯的二進位檔，惡意使用者也很容易加以擷取。私密金鑰遭到入侵之後，加密文字可以直接解密，且不再受到保護。

如何修正違規

請考慮重新設計應用程式以使用安全的密鑰管理系統，例如 Azure 金鑰保存庫。
將認證和金鑰保留在與原始程式碼分開的安全位置。

隱藏警告的時機

請勿隱藏此規則的警告。

設定程式代碼以分析

使用下列選項來設定程式代碼基底要執行此規則的部分。

排除特定符號
排除特定類型及其衍生類型

您可以只針對此規則、它套用的所有規則，或針對套用至此類別的所有規則（安全性）設定這些選項。如需詳細資訊，請參閱程式代碼品質規則組態選項。

排除特定符號

您可以從分析中排除特定符號，例如類型和方法。例如，若要指定規則不應該在名為 MyType的任何程式代碼上執行，請將下列機碼/值組新增至 專案中的 .editorconfig 檔案：

dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType

選項值中允許的符號名稱格式（以 |分隔）：

只包含符號名稱（包含名稱的所有符號，不論包含類型或命名空間為何）。
符號檔案識別碼格式的完整名稱。每個符號名稱都需要符號種類前置詞，例如 M: 方法、 T: 類型和 N: 命名空間。
.ctor 用於建構函式和 .cctor 靜態建構函式。

範例：

選項值	摘要
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType`	符合所有名為 `MyType`的符號。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1\|MyType2`	比對名為 `MyType1` 或 `MyType2`的所有符號。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType)`	比對特定方法 `MyMethod` 與指定的完整簽章。
`dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)\|M:NS2.MyType2.MyMethod2(ParamType)`	比對特定方法和`MyMethod1MyMethod2`個別的完整簽章。

排除特定類型及其衍生類型

您可以從分析中排除特定類型及其衍生類型。例如，若要指定規則不應該在具名 MyType 類型及其衍生型別內的任何方法上執行，請將下列機碼/值組新增至 專案中的 .editorconfig 檔案：

dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType

選項值中允許的符號名稱格式（以 |分隔）：

僅限類型名稱（包含名稱的所有類型，不論包含類型或命名空間為何）。
符號文件識別碼格式的完整名稱，具有選擇性 T: 前置詞。

範例：

選項值	摘要
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType`	比對所有具名 `MyType` 的類型及其所有衍生型別。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1\|MyType2`	比對所有名為 `MyType1` 或 `MyType2` 的型別，以及其所有衍生型別。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType`	比對具有指定完整名稱的特定型 `MyType` 別及其所有衍生型別。
`dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1\|M:NS2.MyType2`	比對特定類型和`MyType1MyType2`個別的完整名稱，以及其所有衍生型別。

虛擬程式代碼範例

硬式編碼位元組陣組違規

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] someOtherBytesForIV)
    {
        byte[] rgbKey = new byte[] {1, 2, 3};
        SymmetricAlgorithm rijn = SymmetricAlgorithm.Create();
        rijn.CreateEncryptor(rgbKey, someOtherBytesForIV);
    }
}

硬式編碼 Convert.FromBase64String 違規

using System;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] someOtherBytesForIV)
    {
        byte[] key = Convert.FromBase64String("AAAAAaazaoensuth");
        SymmetricAlgorithm rijn = SymmetricAlgorithm.Create();
        rijn.CreateEncryptor(key, someOtherBytesForIV);
    }
}

硬式編碼的 Encoding.GetBytes 違規

using System.Text;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] someOtherBytesForIV)
    {
        byte[] key = Encoding.ASCII.GetBytes("AAAAAaazaoensuth");
        SymmetricAlgorithm rijn = SymmetricAlgorithm.Create();
        rijn.CreateEncryptor(key, someOtherBytesForIV);
    }
}

解決方案

using System.Text;
using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(char[] chars, byte[] someOtherBytesForIV)
    {
        byte[] key = Encoding.ASCII.GetBytes(chars);
        SymmetricAlgorithm rijn = SymmetricAlgorithm.Create();
        rijn.CreateEncryptor(key, someOtherBytesForIV);
    }
}

分享方式：