Almacenamiento de una contraseña guardada en la aplicación de Código abierto

Question

Estoy escribiendo una aplicación C# que será de código abierto y necesito poder almacenar la información de inicio de sesión guardada para cada usuario. Normalmente, solo cifraría la contraseña y luego la almacenaría en un archivo de configuración del usuario, pero me preocupa que debido a que el código sea de código abierto, de alguna manera se derrota el punto de encriptación. Como todo lo que tendrían que hacer es mirar el código y agarrar la clave de encriptación.

De acuerdo, al menos lo haría mucho más difícil que la contraseña que se almacena en texto plano. Pero, ¿hay alguna forma decente de cifrar la contraseña, pero haciendo que sea al menos extremadamente difícil de descifrar, incluso si tuviera la fuente? Tal vez hacer que sea al menos casi imposible de descifrar en cualquier computadora que no sea la que fue encriptada?

EDIT: Aclaración ... Estoy almacenando contraseñas del lado del CLIENTE, NO las contraseñas para validar su inicio de sesión para el servicio. Es un cliente de un servicio web preexistente del que no tengo control. Solo quiero almacenar las contraseñas localmente para el inicio de sesión automático ... como lo haría cualquier cliente de chat.

EDIT 2: Lo siento por no haberlo hecho antes. Pero las contraseñas deben recuperarse en texto claro en algún momento y el hashing NO es una opción :(Incluso si el servicio me dejara pasar el hash de la contraseña que de alguna manera vencería el propósito porque el hash sería tan bueno como una contraseña: P

Answer 1

Creo que si utiliza Rijndal por ejemplo y crea valores de sal aleatorios y deriva las claves de elementos específicos de la máquina (como algunas ID de hardware) será difícil descifrar, incluso si sabe cómo funciona porque le falta la información del hardware.

Pero usted podría considerar el almacenamiento de hashes de contraseñas sólo los e iterar al menos 1000 veces. los valores hash no puede ser covnerted de nuevo a la contraseña original.

Otra idea más: ¿Sería una opción dejar la implementación a quien recurra a su fuente y hacer el resumen de encriptación? No funciona, por supuesto, si ofrece un paquete integrado para descargar. Pero, de nuevo: en la compilación puede usar su propio cifrado "secreto" y stull tenerlo abstracto en la fuente.

Answer 2

Tal vez pueda encriptar la contraseña utilizando algunos valores específicos de la máquina, como Mac o sth .. Si alguien obtiene la fuente y la contraseña cifrada pero no tiene acceso completo a la contraseña del equipo debe estar seguro.

Answer 3

Si está utilizando esta aplicación en Windows puede utilizar DPAPI para almacenar datos sensibles en nombre del usuario:

How To: Use DPAPI to Encrypt and Decrypt Data (C#/VB.NET)

también almacenar el hash sólo que en lugar de la contraseña completa es una buena idea!

Answer 4

Lo que estás preguntando es básicamente imposible.

Hay no manera de almacenar con seguridad una contraseña en una máquina cliente si es necesario descifrarla. Esto se ve agravado por el hecho de que lo necesita para conectarse a un servicio, que supongo que no es compatible con SSL. En este caso, se podría encontrar trivialmente la contraseña utilizando un analizador de red.

Existe un juego (de código cerrado, por supuesto) Juego que requiere un nombre de usuario, la contraseña se guarda en alguna parte pero está encriptada con una clave que es única para cada instalación.Olvidé la contraseña una vez, así que acabo de usar Wireshark, y listo - Pude ver la contraseña simple.

Esto también me recuerda a las personas quejándose de que es fácil revelar contraseñas en Google Chrome ... Obviamente no lo saben mejor. Puede probar todos los trucos inteligentes que desee, pero cualquier seguridad de la aplicación se descarta una vez que alguien tiene acceso a la máquina.

Por lo tanto, con esto en mente, mantendría el cifrado y descifrado realmente simple. En el mejor de los casos, puede crear una clave derivada de algo unique to the machine, de modo que alguien que robe la contraseña cifrada no podrá descifrarla sin acceder a dicha clave única.

Answer 5

Y podría usar el cifrado de muñeca babushka. Cifras la contraseña con otra contraseña, luego la encriptas con otra contraseña y muchas veces la escribes con un texto claro. Cualquier persona que quiera acceder a la contraseña de orignal se cansará de descifrar y abandonar antes de acceder a la contraseña original.