CA5388: 약한 키 파생 함수를 사용할 때 충분한 반복 횟수 확인
| 속성 | 값 |
|---|---|
| 규칙 ID | CA5388 |
| 제목 | 취약한 키 파생 함수를 사용할 때 충분한 반복 횟수가 필요합니다. |
| 범주 | 보안 |
| 수정 사항이 주요 변경인지 여부 | 주요 변경 아님 |
| .NET 9에서 기본적으로 사용 | 아니요 |
원인
System.Security.Cryptography.Rfc2898DeriveBytes.GetBytes로 암호화 키를 파생할 때 반복 횟수가 100,000보다 작을 수 있습니다.
기본적으로 이 규칙은 전체 코드베이스를 분석하지만 이는 구성 가능합니다.
규칙 설명
이 규칙은 반복 횟수가 100,000보다 작을 수 있는 Rfc2898DeriveBytes에 의해 암호화 키가 생성되었는지 확인합니다. 반복 횟수를 높이면 생성된 암호화 키를 추측하려고 시도하는 사전 공격을 완화할 수 있습니다.
이 규칙은 CA5387과 비슷하지만, 분석에서 반복 횟수가 100,000보다 작은지 확인할 수 없습니다.
위반 문제를 해결하는 방법
GetBytes를 명시적으로 호출하기 전에 반복 횟수를 10만 이상으로 설정합니다.
경고를 표시하지 않는 경우
다음 경우에는 이 규칙의 경고를 표시하지 않아도 됩니다.
- 기존 데이터와의 호환성을 위해 더 작은 반복 횟수를 사용해야 합니다.
- 반복 횟수가 100,000 이상으로 설정되어 있다고 확신합니다.
경고 표시 안 함
단일 위반만 표시하지 않으려면 원본 파일에 전처리기 지시문을 추가하여 규칙을 사용하지 않도록 설정한 후 다시 사용하도록 설정합니다.
#pragma warning disable CA5388
// The code that's violating the rule is on this line.
#pragma warning restore CA5388
파일, 폴더 또는 프로젝트에 대한 규칙을 사용하지 않도록 설정하려면 none에서 심각도를 으로 설정합니다.
[*.{cs,vb}]
dotnet_diagnostic.CA5388.severity = none
자세한 내용은 방법: 코드 분석 경고 표시 안 함을 참조하세요.
분석할 코드 구성
다음 옵션을 사용하여 이 규칙이 실행될 코드베이스 부분을 구성합니다.
이 규칙, 적용되는 모든 규칙 또는 적용되는 이 범주(보안)의 모든 규칙에 대해 이러한 옵션을 구성할 수 있습니다. 자세한 내용은 코드 품질 규칙 구성 옵션을 참조하세요.
특정 기호 제외
분석에서 형식 및 메서드와 같은 특정 기호를 제외할 수 있습니다. 예를 들어 MyType이라는 형식 내 코드에서 규칙을 실행하지 않도록 지정하려면 프로젝트의 .editorconfig 파일에 다음 키-값 쌍을 추가합니다.
dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType
메모
CAXXXX
XXXX 부분을 해당 규칙의 ID로 바꿉니다.
옵션 값의 허용되는 기호 이름 형식(|로 구분):
- 기호 이름만(포함하는 형식 또는 네임스페이스와 관계없이 해당 이름의 모든 기호 포함).
- 기호의 설명서 ID 형식에 있는 정규화된 이름. 각 기호 이름에는 메서드의 경우
M:, 형식의 경우T:, 네임스페이스의 경우N:과 같은 기호 종류 접두사가 필요합니다. - 생성자의 경우
.ctor이고 정적 생성자의 경우.cctor입니다.
예:
| 옵션 값 | 요약 |
|---|---|
dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType |
MyType이라는 모든 기호와 일치합니다. |
dotnet_code_quality.CAXXXX.excluded_symbol_names = MyType1|MyType2 |
MyType1 또는 MyType2라는 모든 기호와 일치합니다. |
dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS.MyType.MyMethod(ParamType) |
특정 메서드 MyMethod를 지정된 정규화된 시그니처와 비교합니다. |
dotnet_code_quality.CAXXXX.excluded_symbol_names = M:NS1.MyType1.MyMethod1(ParamType)|M:NS2.MyType2.MyMethod2(ParamType) |
특정 메서드 MyMethod1 및 MyMethod2를 개별 정규화된 시그니처와 비교합니다. |
특정 형식 및 해당 파생 형식 제외
분석에서 특정 형식과 해당 파생 형식을 제외할 수 있습니다. 예를 들어 MyType이라는 형식 및 해당 파생 형식 내에 있는 메서드에서 규칙이 실행되지 않도록 지정하려면 프로젝트의 .editorconfig 파일에 다음 키-값 쌍을 추가합니다.
dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType
메모
CAXXXX
XXXX 부분을 해당 규칙의 ID로 바꿉니다.
옵션 값의 허용되는 기호 이름 형식(|로 구분):
- 형식 이름만(포함하는 형식이나 네임스페이스와 관계없이 해당 이름의 모든 형식 포함)
- 기호의 설명서 ID 형식에 있는 정규화된 이름(선택적
T:접두사 포함)
예:
| 옵션 값 | 요약 |
|---|---|
dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType |
MyType이라는 모든 형식 및 모든 해당 파생 형식과 일치합니다. |
dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = MyType1|MyType2 |
MyType1 또는 MyType2라는 모든 형식 및 모든 해당 파생 형식과 일치합니다. |
dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS.MyType |
지정된 정규화된 이름의 특정 MyType 형식 및 모든 해당 파생 형식과 일치합니다. |
dotnet_code_quality.CAXXXX.excluded_type_names_with_derived_types = M:NS1.MyType1|M:NS2.MyType2 |
개별 정규화된 이름의 특정 MyType1, MyType2 형식 및 모든 해당 파생 형식과 일치합니다. |
의사 코드 예제
위반
using System;
using System.Security.Cryptography;
class ExampleClass
{
public void ExampleMethod(string password, byte[] salt, int cb)
{
var iterations = 100;
Random r = new Random();
if (r.Next(6) == 4)
{
iterations = 100000;
}
var rfc2898DeriveBytes = new Rfc2898DeriveBytes(password, salt, iterations);
rfc2898DeriveBytes.GetBytes(cb);
}
}
해결 방법
using System.Security.Cryptography;
class ExampleClass
{
public void ExampleMethod(string password, byte[] salt, int cb)
{
var rfc2898DeriveBytes = new Rfc2898DeriveBytes(password, salt);
rfc2898DeriveBytes.IterationCount = 100000;
rfc2898DeriveBytes.GetBytes(cb);
}
}
.NET