Podpora zásad ochrany dat na úrovni počítače v ASP.NET Core
Autor: Rick Anderson
Při spouštění ve Windows má systém Ochrany dat omezenou podporu pro nastavení výchozích zásad pro všechny aplikace, které využívají ASP.NET Core Data Protection. Obecně platí, že správce může chtít změnit výchozí nastavení, jako jsou algoritmy používané nebo životnost klíče, aniž by bylo nutné ručně aktualizovat každou aplikaci na počítači.
Upozorňující
Správce systému může nastavit výchozí zásady, ale nemůže je vynutit. Vývojář aplikace může vždy přepsat libovolnou hodnotu vlastním výběrem. Výchozí zásada má vliv jenom na aplikace, u kterých vývojář nezadá explicitní hodnotu pro nastavení.
Nastavení výchozích zásad
Pokud chcete nastavit výchozí zásady, může správce nastavit známé hodnoty v systémovém registru pod následujícím klíčem registru:
HKLM\SOFTWARE\Microsoft\DotNetPackages\Microsoft.AspNetCore.DataProtection
Pokud používáte 64bitový operační systém a chcete ovlivnit chování 32bitových aplikací, nezapomeňte nakonfigurovat ekvivalent Wow6432Node výše uvedeného klíče.
Podporované hodnoty jsou uvedené níže.
| Hodnota | Typ | Popis |
|---|---|---|
| EncryptionType | řetězec | Určuje, které algoritmy se mají použít pro ochranu dat. Hodnota musí být CNG-CBC, CNG-GCM nebo Managed a je popsána podrobněji níže. |
| DefaultKeyLifetime | DWORD | Určuje životnost nově vygenerovaných klíčů. Hodnota je zadaná ve dnech a musí být >= 7. |
| KeyEscrowSinks | řetězec | Určuje typy, které se používají pro klávesu escrow. Hodnota je seznam jímek s oddělovači klíčů oddělený středníkem, kde každý prvek v seznamu je název sestavení kvalifikovaného typu, který implementuje IKeyEscrowSink. |
Typy šifrování
Pokud je EncryptionType CNG-CBC, je systém nakonfigurovaný tak, aby používal symetrickou šifru CBC v režimu CBC pro důvěrnost a HMAC pro pravost se službami poskytovanými systémem Windows CNG (další podrobnosti najdete v tématu Určení vlastních algoritmů CNG systému Windows). Podporují se následující další hodnoty, z nichž každá odpovídá vlastnosti cngCbcAuthenticatedEncryption Nastavení typ.
| Hodnota | Typ | Popis |
|---|---|---|
| EncryptionAlgorithm | řetězec | Název symetrického blokového šifrovacího algoritmu, kterému rozumí CNG. Tento algoritmus se otevře v režimu CBC. |
| EncryptionAlgorithmProvider | řetězec | Název implementace poskytovatele CNG, která může vytvořit algoritmus EncryptionAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Délka klíče (v bitech), která se má odvodit pro algoritmus symetrického blokového šifrování. |
| Hashalgorithm | řetězec | Název hashovacího algoritmu, kterému rozumí CNG. Tento algoritmus se otevře v režimu HMAC. |
| HashAlgorithmProvider | řetězec | Název implementace poskytovatele CNG, která může vytvořit algoritmus HashAlgorithm. |
Pokud je EncryptionType CNG-GCM, je systém nakonfigurovaný tak, aby používal symetrický blok Galois/Counter Mode pro důvěrnost a pravost se službami poskytovanými systémem Windows CNG (další podrobnosti najdete v tématu Určení vlastních algoritmů CNG systému Windows). Podporují se následující další hodnoty, z nichž každá odpovídá vlastnosti cngGcmAuthenticatedEncryption Nastavení typ.
| Hodnota | Typ | Popis |
|---|---|---|
| EncryptionAlgorithm | řetězec | Název symetrického blokového šifrovacího algoritmu, kterému rozumí CNG. Tento algoritmus je otevřen v režimu Galois/Counter. |
| EncryptionAlgorithmProvider | řetězec | Název implementace poskytovatele CNG, která může vytvořit algoritmus EncryptionAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Délka klíče (v bitech), která se má odvodit pro algoritmus symetrického blokového šifrování. |
Pokud je typ EncryptionType spravovaný, systém je nakonfigurovaný tak, aby používal spravovaný symetrický protokol pro důvěrnost a keyedHashAlgorithm pro pravost (další podrobnosti najdete v tématu Určení vlastních spravovaných algoritmů ). Podporují se následující další hodnoty, z nichž každá odpovídá vlastnosti typu ManagedAuthenticatedEncryption Nastavení.
| Hodnota | Typ | Popis |
|---|---|---|
| EncryptionAlgorithmType | řetězec | Kvalifikovaný název sestavení typu, který implementuje SymmetricAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Délka klíče (v bitech), která se má odvodit pro algoritmus symetrického šifrování. |
| ValidationAlgorithmType | řetězec | Kvalifikovaný název sestavení typu, který implementuje KeyedHashAlgorithm. |
Pokud má encryptionType jinou hodnotu než null nebo prázdnou, systém Ochrany dat vyvolá při spuštění výjimku.
Upozorňující
Při konfiguraci výchozího nastavení zásad, které zahrnuje názvy typů (EncryptionAlgorithmType, ValidationAlgorithmType, KeyEscrowSinks), musí být typy dostupné pro aplikaci. To znamená, že pro aplikace spuštěné v Desktop CLR by sestavení, která obsahují tyto typy, měla být přítomna v globální mezipaměti sestavení (GAC). Pro ASP.NET aplikace Core spuštěné v .NET Core by se měly nainstalovat balíčky, které obsahují tyto typy.
