Шифруется ли SecureString в .NET 5 и .NET Core в Windows?

SecureString зашифрован в .NET 5+ и в .NET Core, работающем в Windows.

Из документация по .NET 5< /а>:

То же предложение находится в Документация по .NET Core, как для .NET Core 3.0, так и для 2.0.

Microsoft рекомендует хранить секреты за пределами процесса и использовать непрозрачные дескрипторы для доступа к ним, что предпочтительнее использования SecureString. Другими словами, основной смысл использования SecureString заключается в закреплении и максимально короткой продолжительности хранения секрета в памяти процесса в любой форме, а не в шифровании. Короткая продолжительность живого хранения, конечно же, является обязанностью разработчика, а не самой SecureString.

Некоторые случаи использования, когда шифрование SecureString может обеспечить полезную глубокую защиту, — это когда секрет поступает небольшими порциями, относительно быстро (например, во время ввода пароля с клавиатуры) и когда можно быстро использовать SecureString (например, re-protected и хранится где-то еще) и удаляется сразу после получения последнего бита секрета. Напротив, копирование ранее существовавшего String в SecureString в цикле всегда довольно бессмысленно: вы все равно собираетесь очень скоро избавиться от SecureString, а секрет уже перенесен в незакрепленную управляемую память, поэтому его копии в виде простого текста могут жить в процессе навсегда, даже после того, как вы избавитесь от файла SecureString.

В источнике SecureString есть метод EncryptionSupported (см. ниже), который в сочетании с методом CheckSupportedOnCurrentPlatform проверяет, поддерживается ли шифрование, в противном случае выдается исключение.

Мне кажется, что SecureString поддерживается в Windows, если только он не работает на .NET Core или .NET Framework.

https://github.com/microsoft/referencesource/blob/master/mscorlib/system/security/securestring.cs

    [System.Security.SecurityCritical]  // auto-generated
        unsafe static bool EncryptionSupported() {
            // check if the enrypt/decrypt function is supported on current OS
            bool supported = true;                        
            try {
                Win32Native.SystemFunction041(
                    SafeBSTRHandle.Allocate(null , (int)Win32Native.CRYPTPROTECTMEMORY_BLOCK_SIZE),
                    Win32Native.CRYPTPROTECTMEMORY_BLOCK_SIZE, 
                    Win32Native.CRYPTPROTECTMEMORY_SAME_PROCESS);
            }
            catch (EntryPointNotFoundException) {
                supported = false;
            }            
            return supported;
        }


     private void CheckSupportedOnCurrentPlatform() {
            if( !supportedOnCurrentPlatform) {
                throw new NotSupportedException(Environment.GetResourceString("Arg_PlatformSecureString"));
            }                            
            Contract.EndContractBlock();
        }