CA5401:不要将 CreateEncryptor 与非默认 IV 结合使用

项目
09/07/2023

属性	值
规则 ID	CA5401
标题	不要将 CreateEncryptor 与非默认 IV 结合使用
类别	安全性
修复是中断修复还是非中断修复	非中断
在 .NET 8 中默认启用	否

原因

将 System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor 与非默认 rgbIV 结合使用。

规则说明

对称加密应始终使用不可重复的初始化向量，以防止字典攻击。

此规则类似于 CA5402，但分析确定初始化向量一定为默认值。

如何解决冲突

使用默认 rgbIV 值，也就是使用不带任何参数的 System.Security.Cryptography.SymmetricAlgorithm.CreateEncryptor 的重载。

何时禁止显示警告

在以下情况下，禁止显示此规则的警告是安全的：

rgbIV 参数由 System.Security.Cryptography.SymmetricAlgorithm.GenerateIV 生成。
确定 rgbIV 确实是随机且不可重复的参数。

抑制警告

如果只想抑制单个冲突，请将预处理器指令添加到源文件以禁用该规则，然后重新启用该规则。

#pragma warning disable CA5401
// The code that's violating the rule is on this line.
#pragma warning restore CA5401

若要对文件、文件夹或项目禁用该规则，请在配置文件中将其严重性设置为 none。

[*.{cs,vb}]
dotnet_diagnostic.CA5401.severity = none

有关详细信息，请参阅如何禁止显示代码分析警告。

伪代码示例

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod(byte[] rgbIV)
    {
        AesCng aesCng  = new AesCng();
        aesCng.IV = rgbIV;
        aesCng.CreateEncryptor();
    }
}

解决方案

using System.Security.Cryptography;

class ExampleClass
{
    public void ExampleMethod()
    {
        AesCng aesCng  = new AesCng();
        aesCng.CreateEncryptor();
    }
}