【テクニカル・上級編】VB.NETで実現する設定ファイルの暗号化：ConnectionStringsの安全な保護とDPAPIを活用したセキュリティ強化策 – Visual Basic (VB / VB.NET)解析バイブル

VB.NETで実現する設定ファイルの暗号化：DPAPIを活用したコネクションストリングスの極限保護

レガシーなWindowsアプリケーションの保守現場において、最も看過されがちでありながら、ひとたびインシデントが起きれば致命傷となる脆弱性がある。それが、`app.config`や`web.config`の``セクションにおける、データベース接続文字列の「平文保存」だ。

「社内ネットワーク内だから大丈夫だ」「コンパイルしているからソースコードは見られない」。そのような甘い認識は、現代のセキュリティ脅威の前では無力に等しい。端末の物理的盗難、マルウェアによるコンフィグファイルの窃取、あるいは権限昇格攻撃を受けた場合、平文で書かれたパスワードは一巻の終わりだ。

我々はプロのエンジニアである。今回は、サードパーティ製の重厚長大ライブラリに頼ることなく、OS標準の要塞である DPAPI (Data Protection API) を極限まで使い倒し、VB.NETアプリケーションの機密情報を鉄壁の守りで固める手法を解説する。

—

1. なぜ「DPAPI」なのか？ ―― アーキテクチャの真髄

Windowsに標準搭載されているDPAPI（Data Protection API）は、OSのカーネルレベルでユーザーまたはマシンのクレデンシャルに紐づいた暗号化を提供する。

外部の鍵管理サーバーや複雑なキーファイル管理の実装は不要でありながら、暗号化の「鍵」自体がWindowsによって安全に管理される。VB.NETから扱う場合、`.NET Framework` / `.NET Core` の双方で `System.Security.Cryptography.ProtectedData` クラス（`ProtectedData.Protect` および `ProtectedData.Unprotect`）を介して、わず数行のコードで強固な暗号化・復号化を実現できる。

ここで重要なのは、「誰のコンテキストで暗号化するか」のスコープ選定だ。

`DataProtectionScope.User`（推奨）:

暗号化を実行したWindowsユーザーアカウントのみが復号可能。アプリケーションが特定ユーザーの権限で動作する場合に最適。

`DataProtectionScope.Machine`:

同じマシンの上で動作するすべてのプロセス・ユーザーが復号可能。Windowsサービスなど、特定ユーザーに依存しないバックグラウンドプロセスで稼働する場合に選択する。

—

2. 【実装】DPAPIを用いた文字列暗号化・復号化モジュール

現場で即座に使える、極限まで無駄を削ぎ落としたVB.NETのユーティリティクラスを提示する。メモリ上の機密データ（Byte配列）の扱い、および例外処理のハンドリングに注目してほしい。

Imports System.Security.Cryptography
Imports System.Text

Public NotInheritable Class DpapiCryptographer
‘ プライベートコンストラクタでインスタンス化を抑止（静的クラス化）
Private Sub New()
End Sub

”’

”’ 平文の接続文字列をDPAPIで暗号化し、Base64エンコード文字列として返します。
”’

Public Shared Function EncryptString(plainText As String, Optional entropy As Byte() = Nothing, Optional scope As DataProtectionScope = DataProtectionScope.User) As String
If String.IsNullOrEmpty(plainText) Then Return String.Empty

‘ 1. 文字列をUTF-8のバイト配列へ変換
Dim plainBytes As Byte() = Encoding.UTF8.GetBytes(plainText)

Try
‘ 2. DPAPIによる暗号化の実行 (ProtectedData)
Dim encryptedBytes As Byte() = ProtectedData.Protect(plainBytes, entropy, scope)

‘ 3. 設定ファイルに格納するためBase64へ変換
Return Convert.ToBase64String(encryptedBytes)
Finally
‘ メモリ上の平文バイト配列をゼロクリア（セキュリティの極限追求）
Array.Clear(plainBytes, 0, plainBytes.Length)
End Try
End Function

”’

”’ Base64エンコードされた暗号化文字列をDPAPIで復号化し、平文の文字列を返します。
”’

Public Shared Function DecryptString(encryptedText As String, Optional entropy As Byte() = Nothing, Optional scope As DataProtectionScope = DataProtectionScope.User) As String
If String.IsNullOrEmpty(encryptedText) Then Return String.Empty

‘ 1. Base64からバイト配列へ復元
Dim encryptedBytes As Byte() = Convert.FromBase64String(encryptedText)

Try
‘ 2. DPAPIによる復号化の実行
Dim decryptedBytes As Byte() = ProtectedData.Unprotect(encryptedBytes, entropy, scope)

‘ 3. バイト配列をUTF-8文字列へ変換
Return Encoding.UTF8.GetString(decryptedBytes)
Finally
‘ メモリ上の暗号化バイト配列もクリア
Array.Clear(encryptedBytes, 0, encryptedBytes.Length)
End Try
End Function
End Class

チーフアーキテクトの視点：メモリ管理の美学

`Encoding.UTF8.GetBytes` によって生成されたマネージドヒープ上のバイト配列は、GC（ガベージコレクション）が回収するまでメモリ上に平文のパスワードとして残り続ける。これを即座に `Array.Clear` で上書き破棄することで、メモリダンプ採取やダンプ解析ツールによる不正読み取りのリスクを極限まで低減させている。この一手間にエンジニアの矜持が宿る。

—

3. アプリケーション設定（App.config）への統合アプローチ

暗号化された文字列を実際にどのようにアプリケーションへ組み込むか。
`app.config` には、平文ではなく「暗号化済みの文字列」を格納する。

アプリケーション起動時（あるいはデータベース接続の初期化時）に、次のように復号化して接続オブジェクトへ動的に流し込む。

Imports System.Configuration
Imports System.Data.SqlClient

Public Class DatabaseManager

Public Shared Function GetConnection() As SqlConnection
‘ 1. App.configから暗号化された設定値を取得
Dim encryptedConnStr As String = ConfigurationManager.AppSettings(“EncryptedConnectionString”)

‘ 2. DPAPIで復号化
Dim plainConnStr As String = DpapiCryptographer.DecryptString(encryptedConnStr, Nothing, DataProtectionScope.User)

‘ 3. コネクションを生成して返す
Return New SqlConnection(plainConnStr)
End Function

End Class

—

4. レガシー環境・システム間連携における運用上の注意点

この手法を導入するにあたり、現場のシニアエンジニアやシステム管理者が絶対に押さえておかなければならない「罠」がある。

1. ユーザーコンテキストの罠 (`DataProtectionScope.User`)

`DataProtectionScope.User` を使用した場合、「暗号化したユーザー」と「アプリケーションを実行するユーザー」が同一でなければ復号化できない。

NGパターン: 開発者がローカル環境で暗号化設定ファイルを作成し、そのまま本番サーバーの「別のアカウント（例: サービスアカウントや別名義の管理者アカウント）」でアプリケーションを起動する。 -> 復号化エラー（CryptographicException）が発生して沈没する。
対策: 設定ファイルの暗号化処理は、本番環境のデプロイ時に「本番稼働ユーザーのコンテキストで実行する小さなセットアップ用スクリプト/ツール」を用いてオンザフライで生成するか、マシン単位のスコープ (`DataProtectionScope.Machine`) を採用する必要がある。

2. スコープ選定のトレードオフ

`DataProtectionScope.Machine` は運用が楽だが、万が一マシンへの不正アクセスを許した場合、同じマシン上の悪意ある別プロセスからも復号化されるリスクが生じる。
機密性の高低とインフラのアーキテクチャ（単一ユーザー運用か、共有サーバーか）を見極めてスコープを決定すること。

—

総括

セキュリティとは、魔法の銀の弾丸（シルバーバレット）を求めることではなく、無数の「穴」を一つずつ確実に塞ぐ地道なエンジニアリングの積み重ねである。

今回紹介した DPAPI による接続文字列の保護は、追加のコストを一切かけず、WindowsのOS標準機能だけで実現できる最も費用対効果の高い防衛策の一つだ。
あなたの管理するシステムが、今この瞬間も平文のパスワードをコンフィグに抱えているならば、今すぐこのコードを組み込み、要塞の門を固めてほしい。