如何用C#结合.NET框架实现内存敏感字符串数据保护？

我有一个C#应用，会初始化若干字符串类型的敏感数据（虽非密码但需保护）。希望找到基于.NET框架和系统原生的机制，提升内存中数据的抗读取能力，避免被其他程序追踪、转储或运行时读取。曾考虑DPAPI的ProtectedMemory类，但看到有观点称微软已不再推荐使用该类；也有人建议采用SHA1/2等哈希函数存储摘要。我想通过私有属性实现：set时将数据加密后存储，get时解密返回，类似如下代码示例，但不确定这种方式是否能有效保护内存数据，同时需要高效的加解密代码示例，且不使用第三方库。

代码示例：

public static MyClass
{
    private string MyVariable
    { 
        get 
        { 
            return Encoding.UTF8.GetString(ProtectedMemory.Unprotect(_myVariable, MemoryProtectionScope.SameLogon)); 
        }
        set 
        { 
            _myVariable =  Encoding.UTF8.GetBytes(value);
            ProtectedMemory.Protect(_myVariable, MemoryProtectionScope.SameLogon);
        }
    }

    private byte[] _myVariable;
}

一、ProtectedMemory的现状说明 #

微软已将ProtectedMemory标记为过时（Obsolete），官方推荐使用ProtectedData类替代。ProtectedMemory仅针对内存块加密，依赖进程/登录会话上下文，适用场景有限；ProtectedData则提供更灵活的加密范围选项，适配现代.NET环境的安全性需求。

二、哈希函数的局限性 #

SHA1/2等哈希算法是单向不可逆的，仅适合存储无需还原的敏感数据（如用户密码）。你的场景需要能还原原始字符串，因此哈希方案完全不适用，必须采用可逆加密机制。

三、私有属性加密存储的有效性 #

你设想的“set时加密存储、get时解密返回”的思路是可行的，能有效降低内存中明文数据暴露的时长：

• 数据大部分时间以加密字节数组形式存储在私有字段中，仅在调用get方法时临时解密为字符串使用
• 注意：解密后的字符串仍会短暂存在于托管堆中，若要进一步降低风险，需在使用后主动清理对应内存区域

四、基于.NET原生的高效加解密实现示例 #

以下是改用ProtectedData的优化实现，同时增加内存主动清理逻辑：

using System;
using System.Security.Cryptography;
using System.Text;
using System.Runtime.InteropServices;

public class SensitiveDataHolder
{
    // 自定义附加熵（增强加密强度，建议使用应用专属的唯一标识）
    private static readonly byte[] _additionalEntropy = Encoding.UTF8.GetBytes("YourAppUniqueEntropyKey");
    
    private byte[] _encryptedData;

    public string SensitiveValue
    {
        get
        {
            if (_encryptedData == null)
                return null;
            
            // 解密数据
            byte[] decryptedBytes = ProtectedData.Unprotect(_encryptedData, _additionalEntropy, DataProtectionScope.CurrentUser);
            string plainText = Encoding.UTF8.GetString(decryptedBytes);
            
            // 主动清理解密后的明文字节数组
            Array.Clear(decryptedBytes, 0, decryptedBytes.Length);
            
            return plainText;
        }
        set
        {
            if (value == null)
            {
                _encryptedData = null;
                return;
            }
            
            byte[] plainBytes = Encoding.UTF8.GetBytes(value);
            // 加密数据
            _encryptedData = ProtectedData.Protect(plainBytes, _additionalEntropy, DataProtectionScope.CurrentUser);
            
            // 主动清理明文字节数组
            Array.Clear(plainBytes, 0, plainBytes.Length);
        }
    }

    // 主动清理加密数据（建议在应用退出或不再使用数据时调用）
    public void ClearSensitiveData()
    {
        if (_encryptedData != null)
        {
            Array.Clear(_encryptedData, 0, _encryptedData.Length);
            _encryptedData = null;
        }
    }

    // 可选：使用unsafe代码清理托管堆中的字符串（需开启项目unsafe编译选项）
    public unsafe void ClearStringMemory(ref string str)
    {
        if (str == null) return;
        
        fixed (char* ptr = str)
        {
            for (int i = 0; i < str.Length; i++)
            {
                ptr[i] = '\0';
            }
        }
        str = null;
    }
}

五、额外防护建议 #

• 避免长时间持有解密后的字符串，使用后立即调用ClearStringMemory清理内存
• 启用.NET内存保护机制：在项目属性中开启HighEntropyVA和DEP（数据执行保护）
• 限制应用进程权限，避免以管理员身份运行，降低被恶意程序注入的风险
• 若数据极度敏感，.NET Framework环境下可考虑使用SecureString类型（注意：.NET Core/.NET 5+中该类型已过时，但仍能避免字符串在托管堆中明文持久化）

内容的提问来源于stack exchange，提问作者Willy