CSHARP.CRYPTO.KEY : Insecure Key Derivation (C#)

An insecure key derivation function is used.

The iterations of an algorithm during an encryption are very relevant for the safety of encrypted data.

Some cryptography algorithms are nowadays considered as outdated and unsafe or actually broken, since they are too easy to decode. This checker identifies uses of unsafe algorithms for cryptography.

プロパティ

クラス名

Insecure Key Derivation (C#)

日本語クラス名

Insecure Key Derivation (C#)

クラス分類

セキュリティ (security)

ニーモニック

CSHARP.CRYPTO.KEY

カテゴリー

CWE	CWE:326	Inadequate Encryption Strength
OWASP-2017	OWASP-2017:A2	Broken authentication
OWASP-2021	OWASP-2021:A7	Identification and authorization failures

対応言語

C# で利用可能です。

有効/無効設定

このワーニングクラスのチェックはデフォルトで有効になっています。チェックを無効にするにはプロジェクト設定ファイル（configuration file）に以下の WARNING_FILTER ルールを追加してください。

WARNING_FILTER += discard class="Insecure Key Derivation (C#)"

例

using System;
using System.Security.Cryptography;
using System.Text;

namespace DocumentationExample
{
    class OtherCryptographyExamples
    {

        static void Main(string[] args)
        {

            Console.WriteLine("Enter a password to produce a key:");

            byte[] pwd = Encoding.Unicode.GetBytes(Console.ReadLine());

            byte[] salt = new byte[6];

            RNGCryptoServiceProvider rand = new RNGCryptoServiceProvider();
            rand.GetBytes(salt);

            AesCryptoServiceProvider aes = new AesCryptoServiceProvider();

            try
            {

                PasswordDeriveBytes pdb = new PasswordDeriveBytes(pwd, salt); // Two warnings issued here: 
                                                                              // - Insecure Key Derivation (C#)
                                                                              //   because PasswordDeriveBytes() is deprecated in favor of Rfc2898DeriveBytes().
                                                                              // - Inadequate Salt (C#)
                                                                              //   because 'salt' is only 6 bytes.

                // Create the key and set it to the Key property
                // of the AesCryptoServiceProvider object.
                aes.Key = pdb.CryptDeriveKey("Aes", "SHA256", 192, aes.IV);

                // ...

            }
            catch (Exception e)
            {
                Console.WriteLine(e.Message);
            }

        }
       
    }
}

解決法

Use a safer key derivation function.

関連のある設定ファイルパラメータ

設定ファイルの以下のパラメータがこのワーニングクラスのチェックに影響します。