Prise en charge de la stratégie au niveau de l’ordinateur de protection des données dans ASP.NET Core
Par Rick Anderson
Lors de l’exécution sur Windows, le système de protection des données offre une prise en charge limitée de la définition d’une stratégie par défaut à l’échelle de l’ordinateur pour toutes les applications qui consomment ASP.NET Core protection des données. L’idée générale est qu’un administrateur peut souhaiter modifier un paramètre par défaut, tel que les algorithmes utilisés ou la durée de vie des clés, sans avoir à mettre à jour manuellement chaque application sur l’ordinateur.
Avertissement
L’administrateur système peut définir une stratégie par défaut, mais il ne peut pas l’appliquer. Le développeur d’application peut toujours remplacer n’importe quelle valeur avec l’une de ses propres choix. La stratégie par défaut affecte uniquement les applications pour lesquelles le développeur n’a pas spécifié de valeur explicite pour un paramètre.
Définition de la stratégie par défaut
Pour définir la stratégie par défaut, un administrateur peut définir des valeurs connues dans le Registre système sous la clé de Registre suivante :
HKLM\SOFTWARE\Microsoft\DotNetPackages\Microsoft.AspNetCore.DataProtection
Si vous utilisez un système d’exploitation 64 bits et que vous souhaitez affecter le comportement des applications 32 bits, n’oubliez pas de configurer l’équivalent Wow6432Node de la clé ci-dessus.
Les valeurs prises en charge sont indiquées ci-dessous.
| Valeur | Type | Description |
|---|---|---|
| EncryptionType | string | Spécifie les algorithmes à utiliser pour la protection des données. La valeur doit être CNG-CBC, CNG-GCM ou Gérée et est décrite plus en détail ci-dessous. |
| DefaultKeyLifetime | DWORD | Spécifie la durée de vie des clés nouvellement générées. La valeur est spécifiée en jours et doit être >= 7. |
| KeyEscrowSinks | string | Spécifie les types utilisés pour l’entiercement de clé. La valeur est une liste délimitée par des points-virgules de récepteurs d’entiercement de clé, où chaque élément de la liste est le nom qualifié d’assembly d’un type qui implémente IKeyEscrowSink. |
Types de chiffrement
Si EncryptionType est CNG-CBC, le système est configuré pour utiliser un chiffrement de blocs symétriques en mode CBC pour la confidentialité et HMAC pour l’authenticité avec les services fournis par Windows CNG (pour plus d’informations, consultez Spécification d’algorithmes de GNC Windows personnalisés ). Les valeurs supplémentaires suivantes sont prises en charge, chacune correspondant à une propriété sur le type CngCbcAuthenticatedEncryptionSettings.
| Valeur | Type | Description |
|---|---|---|
| EncryptionAlgorithm | string | Nom d’un algorithme de chiffrement de blocs symétriques compris par CNG. Cet algorithme est ouvert en mode CBC. |
| EncryptionAlgorithmProvider | string | Nom de l’implémentation du fournisseur CNG qui peut produire l’algorithme EncryptionAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Longueur (en bits) de la clé à dériver pour l’algorithme de chiffrement de blocs symétriques. |
| HashAlgorithm | string | Nom d’un algorithme de hachage compris par CNG. Cet algorithme est ouvert en mode HMAC. |
| Classe HashAlgorithmProvider | string | Nom de l’implémentation du fournisseur CNG qui peut produire l’algorithme HashAlgorithm. |
Si EncryptionType est CNG-GCM, le système est configuré pour utiliser un chiffrement de blocs symétriques Galois/Counter Mode pour la confidentialité et l’authenticité avec les services fournis par Windows CNG (pour plus d’informations, consultez Spécification d’algorithmes de GNC Windows personnalisés ). Les valeurs supplémentaires suivantes sont prises en charge, chacune correspondant à une propriété sur le type CngGcmAuthenticatedEncryptionSettings.
| Valeur | Type | Description |
|---|---|---|
| EncryptionAlgorithm | string | Nom d’un algorithme de chiffrement de blocs symétriques compris par CNG. Cet algorithme est ouvert en mode Galois/Compteur. |
| EncryptionAlgorithmProvider | string | Nom de l’implémentation du fournisseur CNG qui peut produire l’algorithme EncryptionAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Longueur (en bits) de la clé à dériver pour l’algorithme de chiffrement de blocs symétriques. |
Si EncryptionType est géré, le système est configuré pour utiliser un SymmetricAlgorithm managé pour la confidentialité et KeyedHashAlgorithm pour l’authenticité (voir Spécification d’algorithmes managés personnalisés pour plus d’informations). Les valeurs supplémentaires suivantes sont prises en charge, chacune correspondant à une propriété sur le type ManagedAuthenticatedEncryptionSettings.
| Valeur | Type | Description |
|---|---|---|
| EncryptionAlgorithmType | string | Nom qualifié d’assembly d’un type qui implémente SymmetricAlgorithm. |
| EncryptionAlgorithmKeySize | DWORD | Longueur (en bits) de la clé à dériver pour l’algorithme de chiffrement symétrique. |
| ValidationAlgorithmType | string | Nom qualifié d’assembly d’un type qui implémente KeyedHashAlgorithm. |
Si EncryptionType a une autre valeur que null ou vide, le système de protection des données lève une exception au démarrage.
Avertissement
Lors de la configuration d’un paramètre de stratégie par défaut qui implique des noms de types (EncryptionAlgorithmType, ValidationAlgorithmType, KeyEscrowSinks), les types doivent être disponibles pour l’application. Cela signifie que pour les applications s’exécutant sur le CLR de bureau, les assemblys qui contiennent ces types doivent être présents dans le Global Assembly Cache (GAC). Pour ASP.NET Core applications s’exécutant sur .NET Core, les packages qui contiennent ces types doivent être installés.
