CA5401: Não use CreateEncryptor com IV não padrão

Artigo
11/12/2024

Property	valor
ID da regra	CA5401
Título	Não use CreateEncryptor com IV não padrão
Categoria	Segurança
A correção está quebrando ou não quebrando	Sem quebra
Habilitado por padrão no .NET 9	Não

Motivo

Usando System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor com não-padrão rgbIV.

Descrição da regra

A criptografia simétrica deve sempre usar um vetor de inicialização não repetível para evitar ataques de dicionário.

Esta regra é semelhante à CA5402, mas a análise determina que o vetor de inicialização é definitivamente o padrão.

Como corrigir violações

Use o valor padrão rgbIV , ou seja, use a sobrecarga do System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor que não tem nenhum parâmetro.

Quando suprimir avisos

É seguro suprimir um aviso desta regra se:

O rgbIV parâmetro foi gerado por System.Security.Cryptography.SymmetricAlgorithm.GenerateIV.
Você tem certeza de que o rgbIV é realmente aleatório e não repetível.

Suprimir um aviso

Se você quiser apenas suprimir uma única violação, adicione diretivas de pré-processador ao seu arquivo de origem para desativar e, em seguida, reativar a regra.

#pragma warning disable CA5401
// The code that's violating the rule is on this line.
#pragma warning restore CA5401

Para desabilitar a regra de um arquivo, pasta ou projeto, defina sua gravidade como none no arquivo de configuração.

[*.{cs,vb}]
dotnet_diagnostic.CA5401.severity = none

Para obter mais informações, consulte Como suprimir avisos de análise de código.

Exemplos de pseudocódigo

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] rgbIV)
    {
        AesCng aesCng  = new AesCng();
        aesCng.IV = rgbIV;
        aesCng.CreateEncryptor();
    }
}

Solução

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod()
    {
        AesCng aesCng  = new AesCng();
        aesCng.CreateEncryptor();
    }
}

Partilhar via