接続文字列の暗号化

Question

私はaspnet_regiisを使用して、C＃アプリケーションのapp.configで接続文字列を暗号化しました。しかし、私は誰かがこの方法を知っていれば、クライアントマシン上に存在するファイルを解読できるのではないかと思いますが、これは正しいのですか？はいの場合は、接続文字列を暗号化することでどのようなメリットがありますか？誰かがそれを解読するのを止めるための回避策は何ですか？

Answer 1

はいこれは正しいです。 Webサービスを使用することをお勧めします。データベース接続は使用しないでください。

Answer 2

アプリケーションが接続文字列の復号化に使用されたキーにアクセスできる必要があるので、攻撃者はそれを実行することもできます。

基本的に、アプリケーションにデータベースへのアクセス権がある場合、同じWindowsアカウントで実行している決定されたハッカーにも権限が与えられます。

攻撃者がデータベースにアクセスしないようにするには、データベースにアクセスするすべてのロジックをWebサービスに配置し、クライアントアプリケーションからWebサービスを呼び出します。

ユーティリティaspnet_regiisの名前は、クライアントアプリケーションのセキュリティを提供するのには適していないという事実を示すヒントです。