Hardcoded crypto key or IV (ARCH311)

Anahtar dotnet.security.hardcoded-crypto-key · Önem error · Kategori security · CWE CWE-321

Sabit kodlanmış bir anahtar veya IV, kaynağa erişen herkesin şifrelenmiş veriyi çözmesine olanak tanır ve döndürülemez. Anahtarları güvenli bir depodan alın.

Hatalı

byte[] key = Encoding.UTF8.GetBytes("0123456789ABCDEF");
using var aes = Aes.Create();
aes.Key = key;

Doğru

byte[] key = await keyVault.GetKeyAsync("data-key");
using var aes = Aes.Create();
aes.Key = key;

Düzeltme

Anahtar/IV literal’lerini kaldırın; anahtarları bir secret yöneticisi veya KMS’den yükleyin ve IV’leri rastgele üretin.