6

Планирую из программы отправлять Email по определенным событиям. Все настройки храню через App.config

Как быть с паролем? Хранить тут же, зашифровав? Если шифровать с ключом, то ключ где хранить?

5
  • Возможный дубликат вопроса: Где хранить пароль
    – tym32167
    8 апр 2019 в 13:09
  • Но там про веб, у меня настольное приложение. Я смотрел тот топик
    – dmitriy
    8 апр 2019 в 13:26
  • @tym32167 Способ хороший, у меня такой поддерживается на appharbor. Но вот для non enterprise приложений не факт что подходит, не сайтов тоже. Вот про DPAPI сам топикстартер подкинул неплохую идею, я буду читать про это.
    – A K
    8 апр 2019 в 13:27
  • От туда я понял: можно шифровать пароль, а ключ хранить в переменных окружения.
    – dmitriy
    8 апр 2019 в 13:30
  • @AK ну, это как бы одно другому не мешает :) У меня например не-энтерпрайз, один и тот же проект на 2 хостах - винда и линукс, потому для меня DPAPI вроде не вариант
    – tym32167
    8 апр 2019 в 13:56

1 ответ 1

2

Я не знаю простых способов порешать эту проблему.

До тех пор, пока мы работаем в энтерпрайз-приложениях (читай: есть application сервер) мы всегда может договариваться о том, чтобы хранить пароль в app.config ("всё равно доступ на сервер открыт только тем, кому надо") чуть ли не в явном виде.

Ещё лучше, когда есть домен и мы можем использовать возможность не указывать пароль вообще. Т.е. для SQL соединений мы можем указать Integrated Security=True в connection string, для почты мы можем обращаться к корпоративному Exchange Server'у, который знает, что служба запущена от такой-то доменной учётки.

Как только мы уходим в создание приложений, рассчитанных на b2c сегмент, т.е. продаём домашнему пользователю ПО, то вся схема начинает рассыпаться как карточный домик. И вместо почтовика приходится коннектиться к какому-то бесплатному gmail/rambler/mailru/yandex и т.п. сервису, и SQL уже полноценно не подымешь...

Я не знаю, возможно ли вообще общее решение, когда у вас всё для расшифровки находится в одном месте. Вон, даже настройки ODBC винда до сих пор хранит в явном виде в реестре. :(

Единственное что мне приходит в голову: шифровать данные пользователя паролем пользователя (он же нигде не хранится), однако это решение с побочками (забыл пароль - потерял настройки, нельзя зашить пароль в дистрибутив)

Какие-то костыли встречал (например), но с такой кучей побочек (только веб-конфиг, только коннекшн стринг и т.п.), что пользоваться неудобно. На дворе шёл уже 2019 год... :(

3
  • Везде пишут про DPAPI, пока вот читаю про него. Не понял про энтропию..достаточно ли мне в методы просто передать стоку с исходным паролем или нет..
    – dmitriy
    8 апр 2019 в 12:46
  • Не использовал, но вроде как в c# поддержка есть с net 2.0 и даже примеры есть. Было бы интересно послушать отзывы кто пользовался, а то вот я в своих корпоративных приложениях настолько закопался, что даже и не особо в курсе.
    – A K
    8 апр 2019 в 12:49
  • Вот пример, stackoverflow.com/questions/3937095/… Можно ли просто взять и сделать также? Результат работы функции EncryptData хранить в настройках?
    – dmitriy
    8 апр 2019 в 12:51

Ваш ответ

Нажимая на кнопку «Отправить ответ», вы соглашаетесь с нашими пользовательским соглашением, политикой конфиденциальности и политикой о куки

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.