如何用.NET Core DataProtection实现需用户协助的加密数据解密？

你的核心需求是实现「后端密钥存储被访问时，无客户端用户密码则无法解密数据」，这可以通过将用户密码派生的安全值作为附加认证数据（AAD），结合.NET Core Data Protection API来实现——完全依赖内置类，无需手动实现底层加密逻辑。

核心思路 #

Data Protection API的子密钥派生过程中，附加认证数据（AAD）是解密时必须提供的验证因子：如果攻击者拿到了后端的主密钥，但没有正确的AAD值，就无法完成子密钥派生，自然无法解密数据。我们可以将用户的密码通过安全的密钥派生函数（KDF）转换为AAD值，加密和解密时都需要这个值，而这个值仅由客户端持有（用户输入密码后本地派生，无需明文传输密码）。

具体实现步骤 #

1. 配置Data Protection服务 #

在Ubuntu的.NET Core 1.1中，先配置Data Protection的密钥存储（比如文件系统，确保密钥持久化）：

using Microsoft.AspNetCore.DataProtection;
using System.IO;

var services = new ServiceCollection();
services.AddDataProtection()
    .PersistKeysToFileSystem(new DirectoryInfo("/var/dp-keys")); // 自定义密钥存储路径，需确保权限安全

var serviceProvider = services.BuildServiceProvider();
var dataProtector = serviceProvider.GetDataProtectionProvider()
    .CreateProtector("MyApp.SensitiveData.ProtectorV1"); // 用途字符串，用于隔离不同业务场景的加密逻辑

2. 客户端派生AAD值 #

客户端（浏览器）获取用户输入的密码后，使用PBKDF2（安全的密钥派生算法）派生一个固定长度的字节数组作为AAD，这个过程完全在客户端完成，无需传输明文密码：

// 示例：浏览器端用Web Crypto API派生AAD
async function deriveAadFromPassword(password, userUniqueSalt) {
    const encoder = new TextEncoder();
    const passwordBytes = encoder.encode(password);
    const saltBytes = encoder.encode(userUniqueSalt); // 盐值由后端生成，每个用户对应唯一值

    // 导入密码作为密钥材料
    const key = await crypto.subtle.importKey(
        "raw", passwordBytes, { name: "PBKDF2" }, false, ["deriveBits"]
    );
    
    // 派生256位（32字节）的AAD值
    const derivedBits = await crypto.subtle.deriveBits(
        { name: "PBKDF2", salt: saltBytes, iterations: 100000, hash: "SHA-256" },
        key, 256
    );
    
    // 转换为十六进制字符串便于传输
    return Array.from(new Uint8Array(derivedBits))
        .map(b => b.toString(16).padStart(2, '0'))
        .join('');
}

重要提示：盐值必须每个用户唯一，由后端生成并存储在数据库中，不要使用硬编码的公共盐值，避免彩虹表攻击。

3. 后端加密数据时传入AAD #

后端接收客户端传递的派生后的AAD值（不是明文密码），在加密时将其作为附加认证数据传入Data Protection的加密方法：

using System.Text;

public byte[] EncryptSensitiveData(byte[] plaintextBytes, string aadHexString)
{
    var aadBytes = Convert.FromHexString(aadHexString);
    // 传入AAD进行加密，只有持有相同AAD的请求才能解密
    return dataProtector.Protect(plaintextBytes, aadBytes);
}

4. 后端解密数据时验证AAD #

解密时，必须由客户端提供相同的AAD值，否则解密会直接失败：

public byte[] DecryptSensitiveData(byte[] ciphertextBytes, string aadHexString)
{
    var aadBytes = Convert.FromHexString(aadHexString);
    try
    {
        return dataProtector.Unprotect(ciphertextBytes, aadBytes);
    }
    catch (CryptographicException)
    {
        // AAD不正确或数据被篡改，抛出友好提示
        throw new InvalidOperationException("无法解密数据，请确认密码正确");
    }
}

为什么这符合你的需求？ #

• 无需传输明文密钥：客户端仅传输密码派生后的AAD值，而非明文密码或解密密钥，大幅降低网络传输风险。
• 后端密钥泄露也无法解密：即使攻击者拿到后端的Data Protection主密钥，没有用户密码派生的AAD值，也无法完成子密钥派生，根本无法解密数据。
• 完全使用内置类：所有加密、密钥派生逻辑都依赖.NET Core内置的Data Protection API和浏览器原生Web Crypto API，无需手动实现底层对称加密，安全性更有保障。

额外注意事项 #

• 迭代次数建议设置为100000以上（可根据硬件性能调整），增加暴力破解的难度。
• 用途字符串（CreateProtector的参数）要保持稳定，不要随意修改，否则会导致旧数据无法解密。
• 后端存储的盐值需要和用户信息绑定，确保每个用户的AAD派生过程唯一。

内容的提问来源于stack exchange，提问作者Susi