Static initialization vector (ARCH312)

Anahtar dotnet.security.static-iv · Önem error · Kategori security · CWE CWE-329

Sabit veya sıfır bir IV’in yeniden kullanılması semantik güvenliği bozar ve şifreli metinler arası karşılaştırmaya olanak tanır. Her şifreleme için yeni rastgele bir IV üretin.

Hatalı

using var aes = Aes.Create();
aes.IV = new byte[16]; // all zeros, reused every time

Doğru

using var aes = Aes.Create();
aes.GenerateIV(); // fresh random IV per message; store it alongside ciphertext

Düzeltme

Her mesaj için GenerateIV() veya RandomNumberGenerator ile yeni bir IV üretin ve şifreli metinle birlikte saklayın.