㈠ 如何对web.config进行加密和解密
一、如何对Web.config中数据库连接字符串进行加解密，避免明文方式。 1)概述：
Web.Config 中可以存储数据库连接语句，通常存于 <connectionString>配置节中，程序调用非常方便，但是在系统的应用过程中，利用明文存储这些敏感信息是不安全的，这就需要对配置信息进行加密，加密后即使攻击者获取了对配置文件的访问，也可以使攻击者难以获取对敏感信息的访问，从而改进应用程序的安全性。
使用 ASP.NET IIS 注册工具 (Aspnet_regiis.exe) 加密或解密 Web 配置文件的各节。而在在处理 Web.config 文件时，ASP.NET 将自动解密已加密的配置元素。
要加密配置文件的内容， 通过Aspnet_regiis.exe 工具与 –pe 选项以及要加密的配置元素的名称一起使用，利用.NET Framework 提供的2种受保护配置程序来实现节点加解密：
名为的 实例使用 Windows 数据保护 API (DPAPI) 对数据进行加密和解密。
名为的 实例使用 RSA 加密算法对数据进行加密和解密。该提供程序配置为默认提供程序
下面就这2中加密方式，分别进行举例如下：
2)使用 来加解密配置节
利用aspnet_regiis -pef connectionStrings 对web.config 加密 在服务器命令提示符下，输入如下命令：
C:\Windows\Microsoft.NET\Framework\v2.0.50727>aspnet_regiis -pef connectionStrings D:\程序\某系统\EpointBid_HuiYuan –prov 正在加密配置节„ 成功！
-pef 指定两个参数：
这里 connectionStrings 是要进行加密的配置节，后面是具体的程序路径 这里 D:\程序\某系统\EpointBid_HuiYuan 是要加密的配置文件所在的物理目录。
-prov 表示使用哪个驱动来加密，一共有两个驱动可选，在类似于
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\CONFIG 的位置，我们可以找到 machine.config 文件，在其 configProtectedData 配置节，我们可以看到这两个驱动的名称，以及默认的驱动是哪一个。这两个驱动是 （类名 ，详细操作见下说明示例）和
（类名 ）。
如果不加驱动选项，则采用默认驱动进行加密。
㈡ asp.net的配置文件web.config怎么解密
使用“”形式来加密
test.aspx程序文件基本如上，
把
section.SectionInformation.ProtectSection(“”);
改成
section.SectionInformation.ProtectSection(“”);
但这个时候你访问网站的时候很有可能会出现
说明:
在处理向该请求提供服务所需的配置文件时出错。请检查下面的特定错误详细信息并适当地修改配置文件。
分析器错误信息: 未能使用提供程序“”进行解密。
提供程序返回错误信息为: 打不开 RSA 密钥容器。
这样的错误,解决方法是：
进dos运行：aspnet_regiis -pa “NetFrameworkConfigurationKey”
“NT AUTHORITY\NETWORK SERVICE”
如果运行出错，需要把目录 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727
放入环境变量path中。此时就可以成功访问网站了。
同样可以通过命令行来实现“”加密
注意：你也可以不运行 aspnet_regiis -pa “NetFrameworkConfigurationKey”
“NT AUTHORITY\NETWORK SERVICE”命令来注册默认的
的RSA 密钥容器
方法如下：
1）创建一个可导出的rsa密钥容器，命名为Key
aspnet_regiis -pc “Key” -exp
2）在你要加密的信息前面指定密钥容器，如：
<configProtectedData><providers><clear /><add name=”KeyProvider” type=”System.Configuration., System.Configuration, Version=2.0.0.0,Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a, processorArchitecture=MSIL” keyContainerName=”Key” useMachineContainer=”true”/></providers></configProtectedData><connectionStrings><add name=”SQLConnString” connectionString=”Data Source=yourIP;Initial Catalog=test;User Id=yourID;Password=yourPassword;”providerName=”System.Data.SqlClient” /></connectionStrings>
并且确保在configuration节的xmlns属性有如下值：
3）对配置文件进行加密
aspnet_regiis -pef “connectionStrings” “E:\project\Test” -prov “KeyProvider”
参数分别为：需要加密的配置节、项目所在目录的物理路径、加密所使用的密钥容器名称
再看web.config文件，就会发现connectionStrings节已经被加密了，但
是运行程序会发现程序仍然可以正确访问数据库。
此时，只需运行：
aspnet_regiis -pdf “connectionStrings” “E:\project\Test”
就可以对web.config文件进行解密。
（注意，如果还是有错误，那可能是您没有给生成的密匙文件足够的权限，
去到C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys
目录下，找到刚生成的密匙文件，把network service用户的读取权限赋予给它，就可以了，
直接用命令的话也可以：命令如下 aspnet_regiis -pa “Key” “NT AUTHORITY\NETWORK SERVICE” ，
可能需要重新启动iis
4）把密钥容器导出为xml文件
aspnet_regiis -px “Key” “e:\Key.xml”
这个命令只导出公钥，因此以后只能用于加密，而无法解密。
aspnet_regiis -px “Key” “e:\Keys.xml” -pri
这个则连私钥一起导出了，所以我们要用这个。
5）把密钥容器删除
aspnet_regiis -pz “Key”
删除后再运行程序，会提示出错：
分析器错误信息: 未能使用提供程序“KeyProvider”进行解密。
提供程序返回错误信息为: 打不开 RSA 密钥容器。
同理可以证明，在任何一台未安装正确的密钥容器Key的机器上，
程序都无法对connectionStrings节进行解密，因此也就无法正常运行。
6）导入key.xml文件
aspnet_regiis -pi “Key” “e:\Keys.xml”
此时，再运行程序会发现又可以解密了。证明加密与解密机制运行正常。
最后说一下这个机制所提供的安全性保障可以运用在什么方面：
对winform程序的app.config进行加密实际意义并不大，因为无论如何，
客户机都可以通过运行aspnet_regiis -pdf 来对配置文件进行解密，从而暴露敏感信息。
对于web.config进行加密的意义也仅限于，当web.config文件不小心泄露时，
不会同时泄露敏感信息，如果恶意攻击者已经取得了在服务器上运行程序的权限，
那么同app.config一样，可以很容易通过通过运行aspnet_regiis -pdf 获取明文了。
还有，通过aspnet_regiis -pa “Key” “NT AUTHORITY\NETWORK SERVICE”
控制对不同用户对密钥容器的访问权限，应该还可以进一步获取一些安全性，
比如可以控制某些用户即使登录到服务器上，也无法用aspnet_regiis -pdf对配置文件进行解密。
㈢ 如何为配置文件加密
在web.config或app.config文件里我们经常会存储一些敏感信息，比如connectionStrings或者appSettings，比如像下面的文件。
<?xml version="1.0"?>
<configuration>
<system.web>
<compilation debug="true" targetFramework="4.0" />
</system.web>
<connectionStrings>
<add name="MyNwConnectionString" connectionString="Server=myServerAddress;Database=myDataBase;User Id=myUsername; Password=myPassword;"/>
</connectionStrings>
<appSettings>
<add key="User" value="myUsername"/>
<add key="Password" value="myPassword"/>
</appSettings>
</configuration>
using System;
using System.Configuration;
namespace WebConfigEncryptTest
{
public partial class WebForm1 : System.Web.UI.Page
{
protected void Page_Load(object sender, EventArgs e)
{
string user = ConfigurationManager.AppSettings.Get("User");
string password = ConfigurationManager.AppSettings.Get("Password");
string connectionString = ConfigurationManager.ConnectionStrings["MyNwConnectionString"].ConnectionString;
}
}
}
（一）加密文件可以使用的Provider
.NET为我们提供了一个工具aspnet_regiis.exe来对web.config文件中的敏感信息进行加密（app.config文件可以先改名为web.config，加密后再改回app.config）。你可以使用两个provider中的一个来进行加密：
System.Configuration.：在System.Configuration.dll中，使用Windows DPAPI（Data Protection API）来进行加密，密钥存在Windows Local Security Authority（LSA）中。注意：当使用时，加密文件所使用的帐号需要与运行web application的帐号相同，否则web application无法解密加密的内容。
System.Configuration.：在System.Configuration.dll中，使用RSA算法来进行加密（RSA算法是非对称加密，参见《对称加密与非对称加密 》），公钥存放在config文件当中，只有加密的计算机有密钥。通常是默认的缺省provider。
（二）加密文件的命令
加密web.config文件可以使用：
aspnet_regiis -pef section web-app-physical-dir
Encrypt the configuration section. Optional arguments:
[-prov provider] Use this provider to encrypt.
比如运行下面的命令就会分别对connectionStrings和appSettings中的信息进行加密：
aspnet_regiis.exe -pef "connectionStrings" "C:\myweb\HelloService"
aspnet_regiis.exe -pef "appSettings" "C:\myweb\HelloService"
加密后的web.config文件变成：
<?xml version="1.0"?>
<configuration>
<system.web>
<compilation targetFramework="4.0" />
</system.web>
<connectionStrings configProtectionProvider="">
<EncryptedData Type="http://www.w3.org/2001/04/xmlenc#Element"
xmlns="http://www.w3.org/2001/04/xmlenc#">
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#tripledes-cbc" />
<KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
<EncryptedKey xmlns="http://www.w3.org/2001/04/xmlenc#">
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
<KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
<KeyName>Rsa Key</KeyName>
</KeyInfo>
<CipherData>
<CipherValue>E2fO9C0TJVxImLYQZza+fCQdDbTpNh/kOKLRsK6zcFjkgtUCl6SnMViuu/2G1NVTxqXyEWYwyK6AiCZA+feeG/+f2EIimP7LJI+JRZVerI4MU6Ke3wxm2S/ATc73/W6eg9808f4//JB0kso0kGJ9i+==</CipherValue>
</CipherData>
</EncryptedKey>
</KeyInfo>
<CipherData>
<CipherValue>I1DWG11Iz/rq+NC9C/21B3Q22J9+//JW1oCvAGs5tHrZU5+vgvm0yCmSuCWZbXva+iv9J35EQqs58pq+hwVo1hg1dffpGCBykaXGl5VX3TIGc=</CipherValue>
</CipherData>
</EncryptedData>
</connectionStrings>
<appSettings configProtectionProvider="">
<EncryptedData Type="http://www.w3.org/2001/04/xmlenc#Element"
xmlns="http://www.w3.org/2001/04/xmlenc#">
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#tripledes-cbc" />
<KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
<EncryptedKey xmlns="http://www.w3.org/2001/04/xmlenc#">
<EncryptionMethod Algorithm="http://www.w3.org/2001/04/xmlenc#rsa-1_5" />
<KeyInfo xmlns="http://www.w3.org/2000/09/xmldsig#">
<KeyName>Rsa Key</KeyName>
</KeyInfo>
<CipherData>
<CipherValue>//SuBvV3D2kxhHaYGFaPuvYgsyOLf3+aYR3O/uh/+/iSANzAWoC+==</CipherValue>
</CipherData>
</EncryptedKey>
</KeyInfo>
<CipherData>
<CipherValue>5W2KhG/oETLUDptobcOM52x1qD/g9A0By/wcGXI+///w=</CipherValue>
</CipherData>
</EncryptedData>
</appSettings>
</configuration>
是默认的缺省provider，如果想使用，可以用-prov参数指明：
aspnet_regiis.exe -pef "connectionStrings" "C:\myweb\HelloService" -prov ""
aspnet_regiis.exe -pef "appSettings" "C:\myweb\HelloService" -prov ""
加密配置文件后，源程序不需要做任何改动。如果要修改或添加新的配置信息，需要先解密配置文件。不论使用哪种Provider，都只能在进行加密的计算机上对配置文件进行解密。
㈣ c# web.config加密有什么用处
加密必然是为了保护敏感信息(比如，数据库联接字符串) ，或者你不想要给其他人看到的信息。
经常会被加密的节点又一下几个：
1) <appSettings> 一般包含一些我们自定义的信息。
2) <connectionStrings> 这个比较容易理解，包含连接数据库用的字符串。
3) <identity> 包含使用impersonate时的账户信息。
4) <sessionState> 包含将session置于process外的连接字符串。
总之，加密的主要目的是为了安全， 信息安全，知识产权安全等。
ASP.NET提供了两种加密方式，DPAPI和RSA。我们可以选择其中一种方式来加密我们的web.config。具体加密方式也有两种，利用aspnet_regiis.exe工具或在程序中用代码加密。