使用 C# 保护内存中的敏感数据

我有一个 C# 应用程序，它用敏感数据初始化一些变量。它们不是密码，但我们认为它们很敏感。我要保护的变量值都是字符串类型。

我想做的是找到一种机制（我知道没有 100% 的机制），让我能够保护内存中的变量值，或者至少让攻击者更难读取它们。因此，我可以保护应用程序内存中的敏感数据，并使其更“无法被任何其他可以在运行时跟踪、转储或读取我的应用程序的应用程序读取”。

我看到存在 Microsoft 数据保护 API (DPAPI)，其中有一个名为受保护的内存 https://learn.microsoft.com/en-us/dotnet/api/system.security.cryptography.protectedmemory?view=netframework-4.8.1它提供了两种方法保护和取消保护，here https://learn.microsoft.com/en-us/dotnet/standard/security/how-to-use-data-protection就是一个例子。

无论如何，微软似乎停止使用 ProtectedMemory，就像有人说的那样here https://stackoverflow.com/a/67343989/1624552因为它没有用。

其他人here https://stackoverflow.com/a/15574559/1624552相反，建议使用良好的函数（例如 SHA1/2）对它们进行哈希处理并存储摘要。

我想使用私有属性（因为它只在我的类中使用）而不是一个简单的变量，它的 set 属性将其加密到内存中，而 get 属性将其解密。如下：

public static MyClass
{
    private string MyVariable
    { 
        get 
        { 
            return Encoding.UTF8.GetString(ProtectedMemory.Unprotect(_myVariable, MemoryProtectionScope.SameLogon)); 
        }
        set 
        { 
            _myVariable =  Encoding.UTF8.GetBytes(value);
            ProtectedMemory.Protect(_myVariable, MemoryProtectionScope.SameLogon);
        }
    }

    private byte[] _myVariable;
}

我的其余字符串变量也是如此。

我想做和他的这个人一样的事情post https://stackoverflow.com/q/60754589/1624552但那里的一些人说将受保护的内存从私人支持字段转移到财产不会有帮助（我不确定他指的是什么，如果使用财产不受保护）。您还能否确认我的变量使用私有属性是否会在内存中受到保护？

那么我该怎么做呢？有人可以提供一个简单的代码片段吗？加密/解密过程应该相对较快。

我不想使用任何第三方，只想使用操作系统帮助和.NET Framework。

.NET 优惠SecureString为了这个表面上的目的。但它有一个巨大的警告，几乎破坏了它的实用性：

很少有 .NET API 支持它。这意味着您需要在之间进行转换SecureString and string在应用程序的生命周期中多次出现。每次执行此操作时，秘密值就有机会泄漏到未加密的 RAM 中。因此，当不再需要字符串的纯文本副本时，您必须非常小心地使用unsafe代码。另外，您不知道传递该秘密时会创建多少份秘密副本string到其他 API。以 JSON 序列化为例 - 如果你需要将你的SecureStringJSON 流中的未加密值，在 JSON 序列化完成后，该值很容易存在于 RAM 中的其他位置，可能存在多次。 HTTP 标头和其他经常交换秘密的地方也是如此。

话虽如此，如果您想冒险尝试，您需要了解如何从SecureString至正常string对于 99.99% 不支持它的 .NET API：

    public static string ToInsecureString(this SecureString str)
    {
        if (str == null)
            return null;
        if (str.Length == 0)
            return "";            

        IntPtr unmanagedString = IntPtr.Zero;
        try
        {
            unmanagedString = SecureStringMarshal.SecureStringToGlobalAllocUnicode(str);
            return Marshal.PtrToStringUni(unmanagedString);
        }
        finally
        {
            Marshal.ZeroFreeGlobalAllocUnicode(unmanagedString);
        }
    }

以及如何转换正常string to a SecureString:

    public static SecureString ToSecureString(this string s, bool readOnly = true)
    {
        if (string.IsNullOrEmpty(s))
            return null;
        unsafe
        {
            fixed (char* chars = s)
            {
                var ss = new SecureString(chars, s.Length);
                if (readOnly)
                    ss.MakeReadOnly();
                return ss;
            }
        }
    }

最后，您需要一种将明文字节清零的方法string当你完成后：

    public static void ScrubString(ref string s)
    {
        if (s == null)
            return;
        unsafe
        {
            fixed (char* chars = s)
            {
                for (int i = 0; i < s.Length; i++)
                {
                    chars[i] = (char)0;
                }
            }
        }
    }

你必须非常小心最后一个；由于 .NET 缓存字符串的方式，这可能会产生比您预期更多的后果。除了从以下内容转换而来的纯文本字符串外，您永远不应该使用它SecureString使用ToInsecureString上面，因为您知道它们将存在于自己的缓冲区中。

这一切值得吗？老实说可能不是。试图将秘密保护在 RAM 中几乎总是一场失败的战斗。但如果您想尝试一下，或者只是需要勾选审核表上的复选框，那就去做吧。