用ASP.NET加密Cookie数据

浏览数：52 / 时间：2015年06月09日

来源：http://www.cnblogs.com/taizhouxiaoba/archive/2009/02/05/1384772.html

Cookie中的数据以文本的形式存在客户端计算机，考虑它的安全性，最好在将数据存入Cookie之前对其进行加密。
加密的方法很多，比较简单一点的有：Base64,md5,sha等，而相对比较复杂一点的有：DES,TripleDES,RC2,Rijndael等。
下面是的代码实现了将数据存入Cookie之前采用散列的算法进行加密.

1 Private   void   Login_Click(object   sender,System   EventArgs   e) 
2 { 
3     string   Name   =   NameBox.Text; 
4     string   Pass   =   PassBox.Text; 
5     Response.Cookies["name"].Value   =   FormsAuthentication.HashPasswordForStoringInConfigFile(Name,   "md5"); 
6     Response.Cookies["pass"].Value   =   FormsAuthentication.HashPasswordForStoringInConfigFile(Pass,   "md5"); 
7 }

加密的方法很多，使用比较复杂的加密算法，安全性比较高些，但占用服务器资源比较大，会减慢整个网站的访问速度。
所以对Cookie加密在考虑三个方面：1：安全性，2：Cookie容量，3：整个网站的性能

来源：http://bbs.csdn.net/topics/30038595

Cookie确实在WEB应用方面为访问者和编程者都提供了方便，然而从安全方面考虑是有问题的，首先，Cookie数据包含在HTTP请求和响应的包头里透明地传递，也就是说聪明的人是能清清楚楚看到这些数据的。其次，Cookie数据以Cookie文件格式存储在浏览者计算机的cache目录里，其中就包含有关网页、密码和其他用户行为的信息，那么只要进入硬盘就能打开Cookie文件。图1是一个Cookie文件的内容：

如果你未曾留意你的机器里有Cookie文件，可以按下列方法查看：打开IE，选择“工具”菜单里的“Internet选项”，然后在弹出的对话框里点击“设置”按钮，在设置对话框里点击“查看”钮，就会打开一个窗口显示浏览器放在硬盘里的所有缓存数据，其中就有大量的Cookie文件。

所以奉劝大家不要将敏感的用户数据存放在Cookie中，要么就通过加密将这些数据保护起来。

在以前的ASP版本中没有加密的功能，现在.NET构架在System.Security.Cryptography命名空间里提供了许多加密类可以利用。
一、.NET的密码系统概要

简单地说，加密就是将原始字符（字节）串转变为完全不同的字符串的处理过程，达到原始字符无法破译的目的。这个处理过程是用另一个字符串（称为“密钥”），采取复杂的、混合的算法，“捣进”原始字符串。有时还使用一个称为“初始向量”的字符串，在密钥捣进之前先打乱目标字符串，预防目标字符串中较明显的内容被识破。加密的功效取决于所用密钥的大小，密钥越长，保密性越强。典型的密钥长度有64位、128位、192位、256位和512位。攻击者唯一的方法是创建一个程序尝试每一个可能的密钥组合，但64位密钥也有72,057,594,037,927,936种组合。

目前有两种加密方法：对称加密（或称私有密钥）和非对称加密（或称公共密钥）。对称加密技术的数据交换两边（即加密方和解密方）必须使用一个保密的私有密钥。非对称加密技术中，解密方向加密方要求一个公共密钥，加密方在建立一个公共密钥给解密方后，用公共密钥创建唯一的私有密钥。加密方用私有密钥加密送出的信息，对方用公共密钥解密。保护HTTP传输安全的SSL就是使用非对称技术。

我们对Cookie数据的加密采取对称加密法。.NET构架从基本的SymmetricAlgorithm类扩展出来四种算法：

·System.Security.Cryptography.DES

·System.Security.Cryptography.TripleDES

·System.Security.Cryptography.RC2

·System.Security.Cryptography.Rijndael

下面将示范DES和TripleDES算法。DES的密钥大小限制在64位，但用于Cookie的加密是有效的。TripleDES完成了三次加密，并有一个较大的密钥位数，所以它更安全。使用那一种算法不仅要考虑加密强度，还要考虑Cookie的大小。因为加密后的Cookie数据将变大，并且，密钥越大，加密后的数据就越大，然而Cookie数据的大小限制在4KB，这是一个必须考虑的问题。再者，加密的数据越多或算法越复杂，就会占有更多的服务器资源，进而减慢整个站点的访问速度。

二、创建一个简单的加密应用类

.NET的所有加密和解密通过CryptoStream类别来处理，它衍生自System.IO.Stream，将字符串作为以资料流为基础的模型，供加密转换之用。下面是一个简单的加密应用类的代码：

  1 Imports System.Diagnostics
  2  
  3 Imports System.Security.Cryptography
  4  
  5 Imports System.Text
  6  
  7 Imports System.IO
  8  
  9 
 10 Public Class CryptoUtil
 11  
 12 
 13 ‘随机选8个字节既为密钥也为初始向量
 14  
 15 Private Shared KEY_64() As Byte = {42, 16, 93, 156, 78, 4, 218, 32}
 16  
 17 Private Shared IV_64() As Byte = {55, 103, 246, 79, 36, 99, 167, 3}
 18  
 19 
 20 ‘对TripleDES，采取24字节或192位的密钥和初始向量
 21  
 22 Private Shared KEY_192() As Byte = {42, 16, 93, 156, 78, 4, 218, 32, _
 23  
 24 15, 167, 44, 80, 26, 250, 155, 112, _
 25  
 26 2, 94, 11, 204, 119, 35, 184, 197}
 27  
 28 Private Shared IV_192() As Byte = {55, 103, 246, 79, 36, 99, 167, 3, _
 29  
 30 42, 5, 62, 83, 184, 7, 209, 13, _
 31  
 32 145, 23, 200, 58, 173, 10, 121, 222}
 33  
 34 
 35 ‘标准的DES加密
 36  
 37 Public Shared Function Encrypt(ByVal value As String) As String
 38  
 39 If value <> "" Then
 40  
 41 Dim cryptoProvider As DESCryptoServiceProvider = _
 42  
 43 New DESCryptoServiceProvider()
 44  
 45 Dim ms As MemoryStream = New MemoryStream()
 46  
 47 Dim cs As CryptoStream = _
 48  
 49 New CryptoStream(ms, cryptoProvider.CreateEncryptor(KEY_64, IV_64), _
 50  
 51 CryptoStreamMode.Write)
 52  
 53 Dim sw As StreamWriter = New StreamWriter(cs)
 54  
 55 
 56 sw.Write(value)
 57  
 58 sw.Flush()
 59  
 60 cs.FlushFinalBlock()
 61  
 62 ms.Flush()
 63  
 64 
 65 ‘再转换为一个字符串
 66  
 67 Return Convert.ToBase64String(ms.GetBuffer(), 0, ms.Length)
 68  
 69 End If
 70  
 71 End Function
 72  
 73 
 74 
 75 ‘标准的DES解密
 76  
 77 Public Shared Function Decrypt(ByVal value As String) As String
 78  
 79 If value <> "" Then
 80  
 81 Dim cryptoProvider As DESCryptoServiceProvider = _
 82  
 83 New DESCryptoServiceProvider()
 84  
 85 
 86 ‘从字符串转换为字节组
 87  
 88 Dim buffer As Byte() = Convert.FromBase64String(value)
 89  
 90 Dim ms As MemoryStream = New MemoryStream(buffer)
 91  
 92 Dim cs As CryptoStream = _
 93  
 94 New CryptoStream(ms, cryptoProvider.CreateDecryptor(KEY_64, IV_64), _
 95  
 96 CryptoStreamMode.Read)
 97  
 98 Dim sr As StreamReader = New StreamReader(cs)
 99  
100 
101 Return sr.ReadToEnd()
102  
103 End If
104  
105 End Function
106  
107 
108 ‘TRIPLE DES加密
109  
110 Public Shared Function EncryptTripleDES(ByVal value As String) As String
111  
112 If value <> "" Then
113  
114 Dim cryptoProvider As TripleDESCryptoServiceProvider = _
115  
116 New TripleDESCryptoServiceProvider()
117  
118 Dim ms As MemoryStream = New MemoryStream()
119  
120 Dim cs As CryptoStream = _
121  
122 New CryptoStream(ms, cryptoProvider.CreateEncryptor(KEY_192, IV_192), _
123  
124 CryptoStreamMode.Write)
125  
126 Dim sw As StreamWriter = New StreamWriter(cs)
127  
128 
129 sw.Write(value)
130  
131 sw.Flush()
132  
133 cs.FlushFinalBlock()
134  
135 ms.Flush()
136  
137 
138 ‘再转换为一个字符串
139  
140 Return Convert.ToBase64String(ms.GetBuffer(), 0, ms.Length)
141  
142 End If
143  
144 End Function
145  
146 
147 
148 ‘TRIPLE DES解密
149  
150 Public Shared Function DecryptTripleDES(ByVal value As String) As String
151  
152 If value <> "" Then
153  
154 Dim cryptoProvider As TripleDESCryptoServiceProvider = _
155  
156 New TripleDESCryptoServiceProvider()
157  
158 
159 ‘从字符串转换为字节组
160  
161 Dim buffer As Byte() = Convert.FromBase64String(value)
162  
163 Dim ms As MemoryStream = New MemoryStream(buffer)
164  
165 Dim cs As CryptoStream = _
166  
167 New CryptoStream(ms, cryptoProvider.CreateDecryptor(KEY_192, IV_192), _
168  
169 CryptoStreamMode.Read)
170  
171 Dim sr As StreamReader = New StreamReader(cs)
172  
173 
174 Return sr.ReadToEnd()
175  
176 End If
177  
178 End Function
179  
180 
181 End Class
182

上面我们将一组字节初始化为密钥，并且使用的是数字常量，如果你在实际应用中也这样做，这些字节一定要在0和255之间，这是一个字节允许的范围值。

三、创建一个Cookie的应用类

下面我们就创建一个简单的类，来设置和获取Cookies。

  1 Public Class CookieUtil
  2  
  3 
  4 ‘设置COOKIE *****************************************************
  5  
  6 
  7 ‘SetTripleDESEncryptedCookie （只针对密钥和Cookie数据）
  8  
  9 Public Shared Sub SetTripleDESEncryptedCookie(ByVal key As String, _
 10  
 11 ByVal value As String)
 12  
 13 key = CryptoUtil.EncryptTripleDES(key)
 14  
 15 value = CryptoUtil.EncryptTripleDES(value)
 16  
 17 
 18 SetCookie(key, value)
 19  
 20 End Sub
 21  
 22 
 23 ‘SetTripleDESEncryptedCookie （增加了Cookie数据的有效期参数）
 24  
 25 Public Shared Sub SetTripleDESEncryptedCookie(ByVal key As String, _
 26  
 27 ByVal value As String, ByVal expires As Date)
 28  
 29 key = CryptoUtil.EncryptTripleDES(key)
 30  
 31 value = CryptoUtil.EncryptTripleDES(value)
 32  
 33 
 34 SetCookie(key, value, expires)
 35  
 36 End Sub
 37  
 38 
 39 
 40 ‘SetEncryptedCookie（只针对密钥和Cookie数据）
 41  
 42 Public Shared Sub SetEncryptedCookie(ByVal key As String, _
 43  
 44 ByVal value As String)
 45  
 46 key = CryptoUtil.Encrypt(key)
 47  
 48 value = CryptoUtil.Encrypt(value)
 49  
 50 
 51 SetCookie(key, value)
 52  
 53 End Sub
 54  
 55 
 56 ‘SetEncryptedCookie （增加了Cookie数据的有效期参数）
 57  
 58 Public Shared Sub SetEncryptedCookie(ByVal key As String, _
 59  
 60 ByVal value As String, ByVal expires As Date)
 61  
 62 key = CryptoUtil.Encrypt(key)
 63  
 64 value = CryptoUtil.Encrypt(value)
 65  
 66 
 67 SetCookie(key, value, expires)
 68  
 69 End Sub
 70  
 71 
 72 
 73 ‘SetCookie （只针对密钥和Cookie数据）
 74  
 75 Public Shared Sub SetCookie(ByVal key As String, ByVal value As String)
 76  
 77 ‘编码部分
 78  
 79 key = HttpContext.Current.Server.UrlEncode(key)
 80  
 81 value = HttpContext.Current.Server.UrlEncode(value)
 82  
 83 
 84 Dim cookie As HttpCookie
 85  
 86 cookie = New HttpCookie(key, value)
 87  
 88 SetCookie(cookie)
 89  
 90 End Sub
 91  
 92 
 93 ‘SetCookie（增加了Cookie数据的有效期参数）
 94  
 95 Public Shared Sub SetCookie(ByVal key As String, _
 96  
 97 ByVal value As String, ByVal expires As Date)
 98  
 99 ‘编码部分
100  
101 key = HttpContext.Current.Server.UrlEncode(key)
102  
103 value = HttpContext.Current.Server.UrlEncode(value)
104  
105 
106 Dim cookie As HttpCookie
107  
108 cookie = New HttpCookie(key, value)
109  
110 cookie.Expires = expires
111  
112 SetCookie(cookie)
113  
114 End Sub