О безопасности machinekey

Question

У нас есть сценарий с использованием asp.net Forms Authentication в веб-ферме и необходимо настроить одинаковые разделы <machinekey /> на каждом файле .config.

Лучше ли хранить раздел <machinekey /> в файле machine.config, а не web.config? каковы преимущества и недостатки каждого подхода к безопасности?

<machineKey validationKey="[keyhere]" 
    decryptionKey="[keyhere]" validation="SHA1" /> 

Если его не достаточно безопасно, есть ли способ для шифрования <machinekey /> раздела, как мы кодируем наши connectionsstring (с DPAPI)? (http://msdn.microsoft.com/en-us/library/ms998280.aspx)

С наилучшими пожеланиями Magnus

Answer 1

я бы его в web.config, чтобы сделать это очевидным, что вы делаете это. Он также дает вам дополнительную возможность иметь разные ключи для разных приложений, если вы хотите повысить безопасность между приложениями (не то, что вы можете захотеть, но это вариант, если оставить его в файле web.config).

Я не думаю, что вы менее или менее безопасны в любом случае. Если ваш сервер достаточно скомпрометирован для кражи web.config, то, вероятно, это так же верно для machine.config.

Я не сделал этого, но я думаю, вы можете использовать DPAPI для шифрования секции machineKey. Не 100% на том, что, хотя ...

http://msdn.microsoft.com/en-us/library/ms998280.aspx#paght000005_step1