2

Просматривая примеры из авторизаций на blazor, нигде не видел использования SecureString, как я давным-давно делал еще в WPF. Почему? Разве хранить пароль в простом string это безопасно? Если это безопасно, то почему тогда в WPF/UWP(думаю тоже) желательно использовать SecureString, а в Blazor нет? Не подвергается ли обычный стринг xss-атаке, если рассматриваем SPA?

1 ответ 1

2

Рекомендации Microsoft насчет использования SecureString изменились: DE0001: SecureString shouldn't be used

  • Содержимое SecureString по настоящему шифруется только под Windows.
  • Даже под Windows, его использование по настоящему безопасно только для промежуточного хранения. Любое преобразование в обычный string делает строку небезопасной (а без этого не обойтись, так как почти все API не работают с SecureString).

Поэтому SecureString не стоит использовать ни в Blazor, ни в WPF на данный момент. Да, незащищенный пароль в памяти приложения может быть украден при XSS-атаке или при заражении вредоносным браузерным расширением. Это проблема технически сложно разрешима; механизмы защиты областей памяти хоть и существуют (например Enclave API в Windows), но они довольно новые и не интегрированы со всей остальной инфраструктурой ОС, браузера и веб-фреймфорков. Поэтому защититься тут можно только на уровне предотвращения XSS-атак и установки непроверенных расширений.

1

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.