加密web.config连接字符串-它是否为站点使用机器密钥？我也加密机器密钥吗？

Question

看这里：https://msdn.microsoft.com/en-us/library/dtkwfdky.aspx

它们加密machineKey中的web.config以及ConnectionStrings。

这是因为，当每个站点使用自定义machineKey时，它将使用机器密钥加密连接字符串吗？

还是机器密钥仅用于视图状态加密？因此，为了保护应用程序，对其进行加密是谨慎的吗？

Answer 1

MachineKey只用于加密/解密/验证ASP.NET cookie和防伪造令牌，它主要处理与用户数据相关的安全性。MachineKey与解密配置值无关。ASP.NET不会使用MachineKey解密连接字符串。

事实上，MachineKey和连接字符串一样敏感，因为在获得它之后，某人可以很容易地创建一个经过身份验证的cookie，从而允许他们登录到任何用户。所以它应该被加密。

你必须自己加密MachineKey。