Господа,

подскажите плиз кто в этой модно-молодежной теме варится, я что то путаться начал:

ранее при использовании ASPNET приложений размещенных на IIS строки подключений к базам можно было хранить к конфиге IIS, и он собственными средствами обеспечивал защиту конфединциальных данных UID+PWD если к примеру для подключения к БД использовалась аутентификация отличная от SSPI;

сейчас искал искал инфу, читал читал: вроде как для ASPNet Core строки подключений рекомендуют держать в application.json, но это же по сути plaintext. вотда фак? и как сейчас обеспечивается защита парольной фразы для приложения core которое будет хостится на iis?

или я чего то упускаю и есть какие то новые варианты реализаций и где об этом почитать?
с aspnet core черт ногу сломит столько нового ввели и инфа раскидана что приходится собирать по крупицам.