SecretManagement ve SecretStore'un güvenlik özelliklerini anlama

Important

PowerShell ekibi, Gizli modüllerin tam özellik olduğuna ve artık aktif olarak geliştirilmeyeceğine karar verdi. Modüller güvenlik ve kritik hata düzeltmeleri için desteklenmeye devam edecek. Kod deposu arşivlendi.

Yayınlanan en son sürümler şunlardır:

Sırların doğası, bu proje tasarlandığından beri köklü bir şekilde değişti. Şifresiz kimlik doğrulama yöntemleri gibi şifresiz kimlik doğrulama yöntemleri (örneğin şifreli anahtarlar, tek oturum girişi ve Microsoft Entra ID, biyometrik ve donanım güvenlik anahtarları gibi federe kimlik doğrulama sistemleri gelecek.

SecretManagement'ın güvenliği, barındırdığı uzantı kasalarına bağlıdır. Bu kasalar, sırları saklama ve alma gibi gerçek işlevleri yerine getirir. SecretManagement varsayılan olarak gizli dizileri düz metin olarak döndürmez. Varsayılan olarak, kullanıcı AsPlaintext anahtarını kullanarak gizli diziyi açıkça düz metin olarak istemediği sürece tüm metin gizli dizileri SecureString nesneleri olarak döndürülür.

Yalnızca bilinen ve güvenilen kaynaklar tarafından yayımlanan ve geçerli paket imzalarına sahip uzantı kasası modüllerini kullanmanız çok önemlidir.

SecretStore uzantı kasası, gizli verileri şifrelemek ve yerel dosya sisteminde depolamak için .NET şifreleme API'lerini kullanır. Mağaza yapılandırma bilgileri ve gizli meta veriler, yanlışlıkla ifşa edilmesini veya rastgele okumayı önlemek için şifrelenmiş biçimde de saklanır.

Gizli depolama dosyası, dosya bozulmasını veya kurcalamayı algılamak için bir şifreleme karması ile doğrulanır. Tüm bu bilgiler tek bir şifreleme anahtarı ve isteğe bağlı parola ile korunmaktadır.

SecretStore'un varsayılan yapılandırması bir parola gerektirir. Ancak, SecretStore kasası ilk yapılandırılırken sağlanması ve depoya erişilirken yeniden sağlanması gerektiğinden parolanın yönetilmesi daha zordur.

En iyi güvenlik için, yerel makinede depolanmayan bir parola kullanın, böylece makine ihlal edilirse keşfedilemez.

SecretStore yapılandırması, oturum sırasında kasanın kilidinin açık kaldığı süreyi sınırlayan bir PasswordTimeout içerir.

Zaman aşımı değeri, -1 kasanın oturumun tüm ömrü boyunca kilidinin açık kalacağı anlamına gelir. Bu potansiyel olarak daha az güvenlidir, ancak tek bir oturumda katılımsız bir komut dosyası çalıştırırken kullanışlıdır. Kasanın kilidi kullanılarak açılır Unlock-SecretStoreve tüm oturum boyunca kilidi açık kalır. Komut dosyası tamamlandığında oturum kapatılır.

Parola kimlik doğrulama gereksinimi de tamamen kapatılabilir. Bu durumda, oturum açmış bir hesaptan sırlara erişmek için parola gerekmez ve çok daha uygundur. Gizli diziler hala şifrelenir, ancak gizli dizilerin şifresini çözme anahtarı geçerli kullanıcı hesabının dosya sisteminde depolanır. Anahtar yalnızca işletim sistemi dosya sistemi güvenliği tarafından korunur. Anahtar, söz konusu kullanıcı hesabının sahip olduğu dosyalar üzerinde okuma ayrıcalıklarına sahip diğer hesaplar tarafından bulunabilir. Bu nedenle, depolanan gizli diziler için güçlü güvenlik korumalarına ihtiyaç duyan sistemler için parolasız yapılandırma önerilmez.

  • Last updated on