Просматривая примеры из авторизаций на blazor, нигде не видел использования SecureString, как я давным-давно делал еще в WPF. Почему? Разве хранить пароль в простом string это безопасно? Если это безопасно, то почему тогда в WPF/UWP(думаю тоже) желательно использовать SecureString, а в Blazor нет? Не подвергается ли обычный стринг xss-атаке, если рассматриваем SPA?
1 ответ
Рекомендации Microsoft насчет использования SecureString изменились: DE0001: SecureString shouldn't be used
- Содержимое SecureString по настоящему шифруется только под Windows.
- Даже под Windows, его использование по настоящему безопасно только для промежуточного хранения. Любое преобразование в обычный string делает строку небезопасной (а без этого не обойтись, так как почти все API не работают с SecureString).
Поэтому SecureString не стоит использовать ни в Blazor, ни в WPF на данный момент. Да, незащищенный пароль в памяти приложения может быть украден при XSS-атаке или при заражении вредоносным браузерным расширением. Это проблема технически сложно разрешима; механизмы защиты областей памяти хоть и существуют (например Enclave API в Windows), но они довольно новые и не интегрированы со всей остальной инфраструктурой ОС, браузера и веб-фреймфорков. Поэтому защититься тут можно только на уровне предотвращения XSS-атак и установки непроверенных расширений.
-
1При наличии определенного навыка, можно обойтись вообще без строк.– aepot ♦Commented 30 авг. 2021 в 10:41