Lưu trữ thông tin đăng nhập PayPal trong ứng dụng web (asp.net) trên máy chủ chia sẻ

Question

Tôi đã tạo một ứng dụng web được lưu trữ trên Godaddy trên máy chủ được chia sẻ. Tôi có kế hoạch sử dụng paypal cho các giao dịch của tôi, điều này tạo ra một vấn đề.

Tại thời điểm này, thông tin đăng nhập (email và mật khẩu paypal) được mã hóa cứng, điều này theo như tôi hiểu được giải pháp tồi tệ nhất. Tùy chọn duy nhất khác mà tôi biết là trong tệp web.config, điều này có vẻ không an toàn lắm.

Bạn có thể chỉ cho tôi theo hướng cung cấp bảo mật mong muốn và hoạt động trong môi trường máy chủ được chia sẻ không?

Trân Alexandros

Answer 1

Trên một máy chủ chia sẻ, phương pháp đơn giản nhất ít nhất ở cái nhìn đầu tiên sẽ được mã hóa mật khẩu và lưu nó trong cơ sở dữ liệu của bạn.

Triển khai có thể được thực hiện với bất kỳ cơ chế mã hóa nào của bạn. Sau đó, từ một quan điểm quan trọng, bạn có một số tùy chọn để lưu trữ nó, với mức độ bảo mật khác nhau, thực sự phụ thuộc vào cách "hoang tưởng" bạn với điều này.

1. Đơn giản chỉ cần lưu trữ các khóa mã hóa trong web.config như một Setting App (Least an toàn, nhưng truy cập vào web.config là hạn chế và các công cụ khác nhạy cảm là có rồi, như DB Passwords)
2. Tạo phần cấu hình tùy chỉnh cho web.confg, sau đó mã hóa và lưu trữ các giá trị ở đó. (Điều này an toàn hơn vì không thể đọc được khóa của bạn qua văn bản thuần túy)
3. Lưu khóa mã hóa trong bảng cơ sở dữ liệu và giới hạn bảng đó được truy vấn chỉ là một tài khoản người dùng. (Tùy thuộc vào suy nghĩ của bạn, đây có thể là giải pháp di động nhất mặc dù ..)

Answer 2

Bạn có thể lưu chúng trong web.config, sau đó mã hóa tệp web.config?

Hoặc ít nhất, mã hóa chúng riêng lẻ trong web.config?

Answer 3

Tôi nghĩ bạn có các tùy chọn sau.

1. Mã hóa tập tin web.config

2. Store trong cơ sở dữ liệu sử dụng mã hóa

3. Tạo một Class Library và tạo ra một lớp mà sẽ giữ thông tin này. Bây giờ trên môi trường được chia sẻ, nó sẽ chỉ được thêm dưới dạng dll bên trong thư mục Bin.

Answer 4

sự lựa chọn của bạn là: mật khẩu

1. API + chữ ký API. Bạn sẽ có để lưu trữ ở đâu đó dưới dạng văn bản thuần túy hoặc nội dung nào đó có thể giải mã được, có thể là là tệp hoặc cơ sở dữ liệu.

2. Mật khẩu API + chứng chỉ API. Bạn sẽ phải kiểm tra xem nhà cung cấp dịch vụ lưu trữ có cho phép người dùng thiết lập kết nối SSL cho các máy chủ khác (ví dụ: CURLOPT_SSLCERT bằng PHP). Nếu có thể, hãy sử dụng số .

Tuy nhiên, bất kể cách bạn chọn, nếu hacker có thể xâm nhập vào tài khoản của bạn, họ sẽ có thể truy xuất mật khẩu hoặc tệp chứng nhận của bạn.

p.s. xin lưu ý rằng các điều khoản "Mật khẩu API", "chữ ký API" và "chứng chỉ API" là các thuật ngữ mà chúng tham chiếu trong tài liệu tham khảo API PayPal và hướng dẫn cho nhà phát triển.

Answer 5

Vì bạn không có quyền truy cập vào máy chủ, bạn sẽ cần phải chạy lệnh để mã hóa các phần của web.config của bạn thông qua mã. Bạn có thể làm điều này bằng cách tạo một trang web đơn giản và chạy nó trên trang tải hoặc trên một nút bấm. Dưới đây là khối mã bạn sẽ cần phải chạy, chỉ sửa đổi một chút từ nguồn tôi lấy từ Microsoft (http://msdn.microsoft.com/en-us/library/system.configuration.sectioninformation.protectsection.aspx). Mặc dù ... mã này đã không thực sự làm việc cho tôi. Không phải là mã không chính xác, nhưng vì tài khoản của tôi không được phép lưu trữ khóa Rsa, kết quả của bạn có thể thay đổi. Nếu điều này không hoạt động thì hãy đọc tiếp cho tùy chọn 2.

' Get the current configuration file.' 
    Dim config As System.Configuration.Configuration = Web.Configuration.WebConfigurationManager.OpenWebConfiguration(Nothing) 

    ' Get the section.' 
    Dim section As AppSettingsSection = CType(config.GetSection("appSettings"), AppSettingsSection) 

    ' Protect (encrypt) the section.' 
    section.SectionInformation.ProtectSection("RSAProtectedConfigurationProvider") 

    ' Save the encrypted section.' 
    section.SectionInformation.ForceSave = True 
    config.Save(ConfigurationSaveMode.Full) 

Tín dụng: Tôi tìm thấy liên kết đó với mã qua Need Encrypted connection string and stmp information in the web.config.

Tùy chọn 2: Vì lý do bảo mật bạn vẫn muốn sử dụng phím máy vì vậy nếu ai đó quản lý để tải xuống tệp web.config của bạn, họ sẽ không thể giải mã cài đặt của bạn. Một cách để làm điều này là mã hóa tất cả các thiết lập của bạn bằng cách sử dụng phím máy bằng tay, và giải mã chúng mỗi khi bạn cần sử dụng chúng, hoặc bạn có thể lưu chúng trong bộ nhớ cache trên mỗi lần khởi động ứng dụng.

Để mã hóa và giải mã một ứng dụng giá trị quan trọng bạn có thể sử dụng mã như thế này:

Dim encryptedString As String = Convert.ToBase64String(ProtectedData.Protect(System.Text.UTF8Encoding.UTF32.GetBytes("Testing"), Nothing, DataProtectionScope.LocalMachine)) 
    Dim decryptedString As String = System.Text.UTF8Encoding.UTF32.GetString(ProtectedData.Unprotect(Convert.FromBase64String(encryptedString), Nothing, DataProtectionScope.LocalMachine)) 

    Response.Write(encryptedString + " - " + decryptedString)