Asp.Net Core Identity 隐私数据保护的实现

2023-08-02 19:08:04 73

前言

Asp.NetCoreIdentity是Asp.NetCore的重要组成部分，他为Asp.NetCore甚至其他.NetCore应用程序提供了一个简单易用且易于扩展的基础用户管理系统框架。它包含了基本的用户、角色、第三方登录、Claim等功能，使用IdentityServer4可以为其轻松扩展OpenIdconnection和Oauth2.0相关功能。网上已经有大量相关文章介绍，不过这还不是Asp.NetCoreIdentity的全部，其中一个就是隐私数据保护。

正文

乍一看，隐私数据保护是个什么东西，感觉好像知道，但又说不清楚。确实这个东西光说很难解释清楚，那就直接上图：

这是用户表的一部分，有没有发现问题所在？用户名和Email字段变成了一堆看不懂的东西。仔细看会发现这串乱码好像还有点规律：guid+冒号+貌似是base64编码的字符串，当然这串字符串去在线解码结果还是一堆乱码，比如id为1的UserName：svBqhhluYZSiPZVUF4baOQ==在线解码后是²ðj†na”¢=•T†Ú9。

这就是隐私数据保护，如果没有这个功能，那么用户名是明文存储的，虽然密码依然是hash难以破解，但如果被拖库，用户数据也会面临更大的风险。因为很多人喜欢在不同的网站使用相同的账号信息进行注册，避免遗忘。如果某个网站的密码被盗，其他网站被拖库，黑客就可以比对是否有相同的用户名，尝试撞库，甚至如果Email被盗，黑客还可以看着Email用找回密码把账号给NTR了。而隐私数据保护就是一层更坚实的后盾，哪怕被拖库，黑客依然看不懂里面的东西。

然后是这个格式，基本能想到，冒号应该是分隔符，前面一个guid，后面是加密后的内容。那问题就变成了guid又是干嘛的？直接把加密的内容存进去不就完了。这其实是微软开发框架注重细节的最佳体现，接下来结合代码就能一探究竟。

启用隐私数据保护

//注册Identity服务（使用EF存储，在EF上下文之后注册）
services.AddIdentity(options=>
{
//...
options.Stores.ProtectPersonalData=true;//在这里启用隐私数据保护
})
//...
.AddPersonalDataProtection();//在这里配置数据加密器，一旦启用保护，这里必须配置，否则抛出异常

其中的AesProtector和AesProtectorKeyRing需要自行实现，微软并没有提供现成的类，至少我没有找到，估计也是这个功能冷门的原因吧。.Neter都被微软给惯坏了，都是衣来伸手饭来张口。有没有发现AesProtectorKeyRing中有KeyRing字样？钥匙串，恭喜你猜对了，guid就是这个钥匙串中一把钥匙的编号。也就是说如果加密的钥匙被盗，但不是全部被盗，那用户信息还不会全部泄露。微软这一手可真是狠啊！

接下来看看这两个类是什么吧。

AesProtector是ILookupProtector的实现。接口包含两个方法，分别用于加密和解密，返回字符串，参数包含字符串数据和上面那个guid，当然实际只要是字符串就行，guid是我个人的选择，生成不重复字符串还是guid方便。

AesProtectorKeyRing则是ILookupProtectorKeyRing的实现。接口包含1、获取当前正在使用的钥匙编号的只读属性，用于提供加密钥匙；2、根据钥匙编号获取字符串的索引器（我这里就是原样返回的。。。）；3、获取所有钥匙编号的方法。

AesProtector

classAesProtector:ILookupProtector
{
privatereadonlyobject_locker;

privatereadonlyDictionary_protectors;

privatereadonlyDirectoryInfo_dirInfo;

publicAesProtector(IWebHostEnvironmentenvironment)
{
_locker=newobject();

_protectors=newDictionary();

_dirInfo=newDirectoryInfo($@"{environment.ContentRootPath}\App_Data\AesDataProtectionKey");
}

publicstringProtect(stringkeyId,stringdata)
{
if(data.IsNullOrEmpty())
{
returndata;
}

CheckOrCreateProtector(keyId);

return_protectors[keyId].Protect(Encoding.UTF8.GetBytes(data)).ToBase64String();
}

publicstringUnprotect(stringkeyId,stringdata)
{
if(data.IsNullOrEmpty())
{
returndata;
}

CheckOrCreateProtector(keyId);

returnEncoding.UTF8.GetString(_protectors[keyId].Unprotect(data.ToBytesFromBase64String()));
}

privatevoidCheckOrCreateProtector(stringkeyId)
{
if(!_protectors.ContainsKey(keyId))
{
lock(_locker)
{
if(!_protectors.ContainsKey(keyId))
{
varfileInfo=_dirInfo.GetFiles().FirstOrDefault(d=>d.Name==$@"key-{keyId}.xml")??
thrownewFileNotFoundException();
using(varstream=fileInfo.OpenRead())
{
XDocumentxmlDoc=XDocument.Load(stream);
_protectors.Add(keyId,
newSecurityUtil.AesProtector(xmlDoc.Element("key")?.Element("encryption")?.Element("masterKey")?.Value.ToBytesFromBase64String()
,xmlDoc.Element("key")?.Element("encryption")?.Element("iv")?.Value.ToBytesFromBase64String()
,int.Parse(xmlDoc.Element("key")?.Element("encryption")?.Attribute("BlockSize")?.Value)
,int.Parse(xmlDoc.Element("key")?.Element("encryption")?.Attribute("KeySize")?.Value)
,int.Parse(xmlDoc.Element("key")?.Element("encryption")?.Attribute("FeedbackSize")?.Value)
,Enum.Parse(xmlDoc.Element("key")?.Element("encryption")?.Attribute("Padding")?.Value)
,Enum.Parse(xmlDoc.Element("key")?.Element("encryption")?.Attribute("Mode")?.Value)));
}
}
}
}
}
}

AesProtectorKeyRing

classAesProtectorKeyRing:ILookupProtectorKeyRing
{
privatereadonlyobject_locker;
privatereadonlyDictionary_keyRings;
privatereadonlyDirectoryInfo_dirInfo;

publicAesProtectorKeyRing(IWebHostEnvironmentenvironment)
{
_locker=newobject();
_keyRings=newDictionary();
_dirInfo=newDirectoryInfo($@"{environment.ContentRootPath}\App_Data\AesDataProtectionKey");

ReadKeys(_dirInfo);
}

publicIEnumerableGetAllKeyIds()
{
return_keyRings.Keys;
}

publicstringCurrentKeyId=>NewestActivationKey(DateTimeOffset.Now)?.Element("key")?.Attribute("id")?.Value??GenerateKey(_dirInfo)?.Element("key")?.Attribute("id")?.Value;

publicstringthis[stringkeyId]=>
GetAllKeyIds().FirstOrDefault(id=>id==keyId)??thrownewKeyNotFoundException();

privatevoidReadKeys(DirectoryInfodirInfo)
{
foreach(varfileInfoindirInfo.GetFiles().Where(f=>f.Extension==".xml"))
{
using(varstream=fileInfo.OpenRead())
{
XDocumentxmlDoc=XDocument.Load(stream);

_keyRings.TryAdd(xmlDoc.Element("key")?.Attribute("id")?.Value,xmlDoc);
}
}
}

privateXDocumentGenerateKey(DirectoryInfodirInfo)
{
varnow=DateTimeOffset.Now;
if(!_keyRings.Any(item=>
DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value)<=now
&&DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value)>now))
{
lock(_locker)
{
if(!_keyRings.Any(item=>
DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value)<=now
&&DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value)>now))
{
varmasterKeyId=Guid.NewGuid().ToString();

XDocumentxmlDoc=newXDocument();
xmlDoc.Declaration=newXDeclaration("1.0","utf-8","yes");

XElementkey=newXElement("key");
key.SetAttributeValue("id",masterKeyId);
key.SetAttributeValue("version",1);

XElementcreationDate=newXElement("creationDate");
creationDate.SetValue(now);

XElementactivationDate=newXElement("activationDate");
activationDate.SetValue(now);

XElementexpirationDate=newXElement("expirationDate");
expirationDate.SetValue(now.AddDays(90));

XElementencryption=newXElement("encryption");
encryption.SetAttributeValue("BlockSize",128);
encryption.SetAttributeValue("KeySize",256);
encryption.SetAttributeValue("FeedbackSize",128);
encryption.SetAttributeValue("Padding",PaddingMode.PKCS7);
encryption.SetAttributeValue("Mode",CipherMode.CBC);

SecurityUtil.AesProtectorprotector=newSecurityUtil.AesProtector();
XElementmasterKey=newXElement("masterKey");
masterKey.SetValue(protector.GenerateKey().ToBase64String());

XElementiv=newXElement("iv");
iv.SetValue(protector.GenerateIV().ToBase64String());

xmlDoc.Add(key);
key.Add(creationDate);
key.Add(activationDate);
key.Add(expirationDate);
key.Add(encryption);
encryption.Add(masterKey);
encryption.Add(iv);

xmlDoc.Save(
$@"{dirInfo.FullName}\key-{masterKeyId}.xml");

_keyRings.Add(masterKeyId,xmlDoc);

returnxmlDoc;
}

returnNewestActivationKey(now);
}
}

returnNewestActivationKey(now);
}

privateXDocumentNewestActivationKey(DateTimeOffsetnow)
{
return_keyRings.Where(item=>
DateTimeOffset.Parse(item.Value.Element("key")?.Element("activationDate")?.Value)<=now
&&DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value)>now)
.OrderByDescending(item=>
DateTimeOffset.Parse(item.Value.Element("key")?.Element("expirationDate")?.Value)).FirstOrDefault().Value;
}
}

这两个类也是注册到Asp.NetCoreDI中的服务，所有DI的功能都支持。

在其中我还使用了我在其他地方写的底层基础工具类，如果想看完整实现可以去我的Github克隆代码实际运行并体验。在这里大致说一下这两个类的设计思路。既然微软设计了钥匙串功能，那自然是要利用好。我在代码里写死每个钥匙有效期90天，过期后会自动生成并使用新的钥匙，钥匙的详细信息使用xml文档保存在项目文件夹中，具体见下面的截图。Identity会使用最新钥匙进行加密并把钥匙编号一并存入数据库，在读取时会根据编号找到对应的加密器解密数据。这个过程由EFCore的值转换器（EFCore2.1增加）完成，也就是说Identity向DbContext中需要加密的字段注册了值转换器。所以我也不清楚早期Identity有没有这个功能，不使用EFCore的情况下这个功能是否可用。

如果希望对自定义用户数据进行保护，为对应属性标注[PersonalData]特性即可。Identity已经对内部的部分属性进行了标记，比如上面提到的UserName。

有几个要特别注意的点：

1、在有数据的情况下不要随便开启或关闭数据保护功能，否则可能导致严重后果。

2、钥匙一定要保护好，保存好。否则可能泄露用户数据或者再也无法解密用户数据，从删库到跑路那种Shift+Del的事千万别干。

3、被保护的字段无法在数据库端执行模糊搜索，只能精确匹配。如果希望进行数据分析，只能先用Identity把数据读取到内存才能继续做其他事。

4、钥匙的有效期不宜过短，因为在用户登录时Identity并不知道用户是什么时候注册的，应该用哪个钥匙，所以Identity会用所有钥匙加密一遍然后查找是否有精确匹配的记录。钥匙的有效期越短，随着网站运行时间的增加，钥匙数量会增加，要尝试的钥匙也会跟着增加，最后对系统性能产生影响。当然这可以用缓存来缓解。

效果预览：

本文地址：https://www.cnblogs.com/coredx/p/12210232.html

完整源代码：Github

里面有各种小东西，这只是其中之一，不嫌弃的话可以Star一下。

以上就是本文的全部内容，希望对大家的学习有所帮助，也希望大家多多支持毛票票。

声明：本文内容来源于网络，版权归原作者所有，内容由互联网用户自发贡献自行上传，本网站不拥有所有权，未作人工编辑处理，也不承担相关法律责任。如果您发现有涉嫌版权的内容，欢迎发送邮件至：czq8825#qq.com（发邮件时，请将#更换为@）进行举报，并提供相关证据，一经查实，本站将立刻删除涉嫌侵权内容。

Asp.Net Core Identity 隐私数据保护的实现

热门推荐

随机推荐