配置错误：未能使用提供程序“RsaProtectedConfiguratio nProvider”进行解密。提供程序返回错误信息为: 打不开 RSA 密钥容器。

我们如果想对web.config的数据库连接字符串进行加密的话，那么这里提供了两个方法。 

方法一、 
    使用“DataProtectionConfigurat ionProvider”形式加密，创建test.aspx文件，代码如下： 
需要添加引用 
using System.Web.Configuration; 
using System.IO; 

//加密 
protected void Button1_Click(object sender, EventArgs e) 
    { 
        Configuration config =   WebConfigurationManager.OpenWebConfiguration(Request.ApplicationPath); 
        ConfigurationSection section = config.GetSection("connectionStrings"); 
         
        if (section != null && !section.SectionInformation.IsProtected) 
        { 
            section.SectionInformation.ProtectSection("DataProtectionConfigurat ionProvider"); 
            config.Save(); 
        } 

    } 
//解密 
    protected void Button2_Click(object sender, EventArgs e) 
    { 
        Configuration config = WebConfigurationManager.OpenWebConfiguration(Request.ApplicationPath); 
        ConfigurationSection section = config.GetSection("connectionStrings"); 

        if (section != null && section.SectionInformation.IsProtected) 
        { 
            section.SectionInformation.UnprotectSection(); 
            config.Save(); 
        } 
    } 


总结：此方法很方便，并且很简单，但安全性没有密钥加密高。 

方法二、 
使用“RSAProtectedConfiguratio nProvider”形式来加密 
test.aspx程序文件基本如上， 
把 
section.SectionInformation.ProtectSection("DataProtectionConfigurat ionProvider"); 
改成 
section.SectionInformation.ProtectSection("RSAProtectedConfiguratio nProvider"); 
但这个时候你访问网站的时候很有可能会出现 

说明: 在处理向该请求提供服务所需的配置文件时出错。请检查下面的特定错误详细信息并适当地修改配置文件。 
分析器错误信息: 未能使用提供程序“RsaProtectedConfiguratio nProvider”进行解密。提供程序返回错误信息为: 打不开 RSA 密钥容器。 

这样的错误,解决方法是： 
进dos运行：aspnet_regiis -pa "NetFrameworkConfiguratio nKey" "NT AUTHORITY\NETWORK SERVICE" 
  如果运行出错，需要把目录 C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727 放入环境变量path中。 
  此时就可以成功访问网站了。 
  同样可以通过命令行来实现“RSAProtectedConfiguratio nProvider”加密 
   
  注意：你也可以不运行 aspnet_regiis -pa "NetFrameworkConfiguratio nKey" "NT AUTHORITY\NETWORK SERVICE"命令来注册默认的 RsaProtectedConfiguratio nProvider 的RSA 密钥容器 
        方法如下： 
        １）创建一个可导出的rsa密钥容器，命名为Key 

aspnet_regiis -pc "Key" -exp 


２）在你要加密的信息前面指定密钥容器，如： 

<configProtectedData> 

        <providers> 

            <clear /> 

            <add name="KeyProvider" 

　　　　　   type="System.Configuration.RsaProtectedConfiguratio nProvider, System.Configuration, Version=2.0.0.0,Culture=neutral, PublicKeyToken=b03f5f7f11d50a3a, processorArchitecture=MSIL" 

　　　　　   keyContainerName="Key" 

　　　　　   useMachineContainer="true"/> 

        </providers> 

</configProtectedData> 


<connectionStrings> 

        <add name="SQLConnString" connectionString="Data Source=yourIP;Initial Catalog=test;User Id=yourID;Password=yourPassword;" 

        providerName="System.Data.SqlClient" /> 


</connectionStrings> 

并且确保在configuration节的xmlns属性有如下值： 

<configuration xmlns="http://schemas.microsoft.com/.NetConfiguration/v2.0"> 


３）对配置文件进行加密 

aspnet_regiis -pef "connectionStrings" "E:\project\Test" -prov "KeyProvider" 

参数分别为：需要加密的配置节、项目所在目录的物理路径、加密所使用的密钥容器名称 

再看web.config文件，就会发现connectionStrings节已经被加密了，但是运行程序会发现程序仍然可以正确访问数据库。 

此时，只需运行： 

aspnet_regiis -pdf "connectionStrings" "E:\project\Test" 

就可以对web.config文件进行解密。 

（注意，如果还是有错误，那可能是您没有给生成的密匙文件足够的权限，去到 C:\Documents and Settings\All Users\Application Data\Microsoft\Crypto\RSA\MachineKeys 目录下， 
  找到刚生成的密匙文件，把network service用户的读取权限赋予给它，就可以了，直接用命令的话也可以：命令如下 aspnet_regiis -pa "Key" "NT AUTHORITY\NETWORK SERVICE" ，可能需要重新启动iis） 


４）把密钥容器导出为xml文件 

aspnet_regiis -px "Key" "e:\Key.xml" 

这个命令只导出公钥，因此以后只能用于加密，而无法解密。 

aspnet_regiis -px "Key" "e:\Keys.xml" -pri 

这个则连私钥一起导出了，所以我们要用这个。 


５）把密钥容器删除 

aspnet_regiis -pz "Key" 

删除后再运行程序，会提示出错： 

分析器错误信息: 未能使用提供程序“KeyProvider”进行解密。提供程序返回错误信息为: 打不开 RSA 密钥容器。 

同理可以证明，在任何一台未安装正确的密钥容器Key的机器上，程序都无法对connectionStrings节进行解密，因此也就无法正常运行。 


６）导入key.xml文件 

aspnet_regiis -pi "Key" "e:\Keys.xml" 

此时，再运行程序会发现又可以解密了。证明加密与解密机制运行正常。 


最后说一下这个机制所提供的安全性保障可以运用在什么方面： 

对winform程序的app.config进行加密实际意义并不大，因为无论如何，客户机都可以通过运行aspnet_regiis -pdf 来对配置文件进行解密，从而暴露敏感信息。 

对于web.config进行加密的意义也仅限于，当web.config文件不小心泄露时，不会同时泄露敏感信息，如果恶意攻击者已经取得了在服务器上运行程序的权限，那么同app.config一样，可以很容易通过通过运行aspnet_regiis -pdf 获取明文了。 


还有，通过aspnet_regiis -pa "Key" "NT AUTHORITY\NETWORK SERVICE"控制对不同用户对密钥容器的访问权限，应该还可以进一步获取一些安全性，比如可以控制某些用户即使登录到服务器上，也无法用aspnet_regiis -pdf对配置文件进行解密。 

Logo
向您推荐>>Eolink开发者社区

权威｜前沿｜技术｜干货｜国内首个API全生命周期开发者社区

更多推荐

ELK实现containerd的容器日志采集展示【基于logging的全栈监测】

企业级ELK Stack构建介绍

avatar 云原生

深入理解 Mocha 测试框架：从零实现一个 Mocha

前言什么是自动化测试自动化测试在很多团队中都是Devops环节中很难执行起来的一个环节，主要原因在于测试代码的编写工作很难抽象，99%的场景都需要和业务强绑定，而且写测试代码的编写工作量往往比编写实际业务代码的工作量更多。在一些很多业务场景中投入产出比很低，适合写自动化测试的应该是那些中长期业务以及一些诸如组件一样的基础库。自动化测试是个比较大的概念，其中分类也比较多，比如单元测试，端对端测试，集

avatar 云原生

(20200916 Solved)docker-compose up创建容器自动退出

问题描述如题，创建容器后自动退出了。并且docker start container无效解决方案原因是缺失了控制终端的配置，需要在docker-compose.yml中增加tty:true ，有时候这样也不行，需要再增加一个command:/bin/bash，命令不一定是这个，需要是一个不会退出的命令，然后用-d后台启动容器。Referencesdocker-compose启动容器后自动退出...

avatar 云原生