Ieri mi sono trovato con la necessità di creare un certo numero di password casuali in C#. Prima di implementare un metodo apposito ho speso alcuni minuti cercando in giro per il web, nella speranza di trovare qualcosa di pronto da poter utilizzare. Mi sono quindi imbattuto in questo interessantissimo post del 2006 di Mads Kristensen, l'autore di numerose estensioni per Visual Studio come Web Essentials, Web Compiler, ASP.NET Core Web Templates e molte altre.
Sfortunatamente, l'esempio di codice contenuto in quell'articolo non mi ha aiutato granché, poiché non forniva alcuna garanzia che la password generata fosse dotata dei requisiti di sicurezza a me necessari: nello specifico, avevo bisogno di generare password che, oltre ad avere una lunghezza minima, contenessero almeno una lettera maiuscola, una lettera minuscola, un numero e un carattere speciale (non alfanumerico). Le password casuali generate dal metodo di Mads possono avere o meno questi requisiti, a seconda dei caratteri che vengono determinati a caso. Una limitazione non compatibile con il metodo UserManager.CreateUserAsync(username, password) del namespace Microsoft.AspNetCore.Identity , che - per impostazione predefinita - è configurato per accettare unicamente password dotate dei suddetti requisiti.
Oltre all'articolo di Mads ho trovato anche questo interessante thread su StackOverflow, dove la communty elencava una serie di possibili opzioni, tra cui:
- Utilizzare il metodo Membership.GeneratePassword incluso nell'assembly System.Web.Security, sfortunatamente non (ancora) disponibile in ASP.NET Core.
- Realizzare un porting ASP.NET Core del metodo sopracitato, a partire dal codice sorgente ufficiale (rilasciato su MIT license).
- Implementare un metodo personalizzato.
Alla fine mi sono deciso a seguire la terza ipotesi, proprio come scelse di fare Mads Kristensen oltre 11 anni orsono.
Il risultato dei miei sforzi è la classe che trovate qui sotto:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 |
/// <summary> /// Generates a Random Password /// respecting the given strength requirements. /// </summary> /// <param name="opts">A valid PasswordOptions object /// containing the password strength requirements.</param> /// <returns>A random password</returns> public static string GenerateRandomPassword(PasswordOptions opts = null) { if (opts == null) opts = new PasswordOptions() { RequiredLength = 8, RequiredUniqueChars = 4, RequireDigit = true, RequireLowercase = true, RequireNonAlphanumeric = true, RequireUppercase = true }; string[] randomChars = new [] { "ABCDEFGHJKLMNOPQRSTUVWXYZ", // uppercase "abcdefghijkmnopqrstuvwxyz", // lowercase "0123456789", // digits "!@$?_-" // non-alphanumeric }; CryptoRandom rand = new CryptoRandom(); List<char> chars = new List<char>(); if (opts.RequireUppercase) chars.Insert(rand.Next(0, chars.Count), randomChars[0][rand.Next(0, randomChars[0].Length)]); if (opts.RequireLowercase) chars.Insert(rand.Next(0, chars.Count), randomChars[1][rand.Next(0, randomChars[1].Length)]); if (opts.RequireDigit) chars.Insert(rand.Next(0, chars.Count), randomChars[2][rand.Next(0, randomChars[2].Length)]); if (opts.RequireNonAlphanumeric) chars.Insert(rand.Next(0, chars.Count), randomChars[3][rand.Next(0, randomChars[3].Length)]); for (int i = chars.Count; i < opts.RequiredLength || chars.Distinct().Count() < opts.RequiredUniqueChars; i++) { string rcs = randomChars[rand.Next(0, randomChars.Length)]; chars.Insert(rand.Next(0, chars.Count), rcs[rand.Next(0, rcs.Length)]); } return new string(chars.ToArray()); } |
Come è possibile vedere, il metodo da me realizzato accetta come parametro un oggetto di tipo PasswordOptions, definito nell'assembly Microsoft.AspNetCore.Identity: se non avete questo assembly a disposizione potete tranquillamente rimpiazzarlo con una serie di parametri (due int, quattro bool) o da una una classe POCO analoga.
Se utilizzate ASP.NET Core, è probabile che abbiate già un oggetto PasswordOptions da poter utilizzare nel metodo ConfigureService contenuto nella classe Startup del vostro progetto:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
[...] // Add ASP.NET Identity support services.AddIdentity<ApplicationUser, IdentityRole>( opts => { opts.Password.RequireDigit = true; opts.Password.RequireLowercase = true; opts.Password.RequireUppercase = true; opts.Password.RequireNonAlphanumeric = false; opts.Password.RequiredLength = 8; }) .AddEntityFrameworkStores<ApplicationDbContext>(); [...] |
Potete quindi memorizzare questo oggetto da qualche parte (ad es. in una variabile statica dell'applicazione) e riutilizzarlo ogniqualvolta vi serva di chiamare il metodo GenerateRandomPassword di cui sopra.
Considerazioni di sicurezza
L'algoritmo di randomizzazione utilizzato per generare la password utilizza una classe denominata CryptoRandom, adattata dall'omonima classe CryptoRandom utilizzata all'interno della libreria IdentityModel, replica i metodi della nota (ma ahimé decisamente insicura) classe Random presente all'interno del .NET Framework, sostituendo l'implementazione standard con un approccio basato su un generatore crittografico: potete scaricarla da questo link.
All'interno del progetto GitHub troverete anche un'implementazione alternativa di questa stessa classe (CryptoRandom2), sempre basata sul medesimo approccio, che ho recuperato da questo Gist (gli autori sono Stephen Toub, Shawn Farkas e Markus Olsson). Se volete utilizzare questo metodo alternativo non dovrete fare altro che rinominare la classe da CryptoRandom2 a CryptoRandom, sostituendo così l'implementazione precedente - o, più semplicemente, modificare il codice del PasswordGenerator instanziando un oggetto di tipo CryptoRandom2.
Conclusioni
Per il momento è tutto: aggiungo solo che, avete bisogno di un metodo C# che controlli la "forza" (o per meglio dire il livello di sicurezza) di una o più password, potete dare un'occhiata anche a quest'altro articolo.
UPDATE: Da qualche settimana la versione aggiornata di questa libreria è disponibile su GitHub su licenza Apache License 2.0.
