IIS AppPool IDパスワードの保護

Question

コンテキスト： 私は、アプリケーションプール用のカスタムWindowsアカウントを使用し、Oracleユーザー認証を有効にして、設定ファイルにDBのユーザー名とパスワードを格納する必要がないようにしています。

問題： この設定は機能しますが、私はappcmd.exeを使用してパスワードを '回復'できることに気付きました。管理上および物理的なアクセス権を持つユーザーがプレーンテキストでパスワードを読み取ることができないようにする方法はありますか？

これはWindows 2016マシンのIIS 10です。パスワードは、applicationHost.configファイルを調べると、が暗号化されているように見えます。 次のコマンドパスワードを示しています

質問に答える

%systemroot%\system32\inetsrv\appcmd.exe list apppool "ImoAppPool" /text:* 

Answer 1

：「？行政との物理的なアクセス権を持つ誰かが平文でパスワードを読み取ることができないことを確認する方法はありますが」

パスワードを復元できるように保存しないでください。約100msの間、ランダムな塩でHMACを繰り返し、ハッシュで塩を保存してください。 PBKDF2、別名Rfc2898DeriveBytes、password_hash、Bcryptなどの機能を使用してください。このハッシュ値をDBに保存します。要点は、攻撃者が無差別にパスワードを見つけるのに多くの時間を費やすことです。

これを実行するのがあなたのコントロールではない場合、解決策は安全ではなく、使用しないでください。

ユーザーを保護することは重要です。安全なパスワード方法を使用してください。