据我所知,web.config文件中的任何部分都可以被加密使用aspnet_regiis.exe进行解密.
如果aspnet_regiis可以用于解密web.config文件,那么加密它的意义是什么？只是保持密码和敏感信息存储为纯文本？如果有文件和exe的任何人可以解密,它是否真的保护敏感的配置信息？
UPDATE
感谢所有回答有关机器钥匙的人.我问这个问题的原因是因为我们在codeplex.com上托管了一个开源项目.但是,我们还将此项目部署到Windows Azure.我试图找到一种最好的方法来将敏感密码保持在源代码控制之外,但是当我部署到Azure时,可以将其作为项目的一部分进行访问.
目前,我正在使用Web配置转换来存储Azure连接字符串(以及system.net的Gmail密码).我创建了一个Web.PublishToAzure.config转换文件,并将该文件保留在源代码控制之外.我也发现this article可能是一个更好的选择.再次感谢.
解决方法
简单的答案：他们将无法访问密钥
我认为默认情况下,密钥存储在机器的证书库中,因此恶意用户也需要访问该密钥.我不是专家,但这是它的要点.
