Hola,
Ahi que recordar que el web.config, es una archivo bien diseñado para estos propositos. Cuando es ejecutado su compilacion oculta todas las cadenas definidas como sensibles dentro del contexto del archivo.
Para los que no se dieron cuenta, asp.net tiene una vulnerabilidad que permite que el archivo sea descargado. Sin embargo acá esta como solucionarlo
http://social.msdn.microsoft.com/For...c-c78106d4d4c4
Y acá tienes algunas de los problemas o vulnerabilidades del web.config, y como solucionarlos
http://geekswithblogs.net/jaullo/arc...--parte-1.aspx
Saludos,
Microsoft Online Community Support Team