Come salvare in modo sicuro nome utente/password (locale)?

Question

Sto creando un'applicazione Windows, a cui è necessario accedere prima.
I dettagli dell'account sono costituiti da nome utente e password e devono essere salvati localmente.
È solo una questione di sicurezza, quindi altre persone che utilizzano lo stesso computer non possono vedere i dati personali di tutti.
Qual è il modo migliore/più sicuro per salvare questi dati?

Non voglio usare un database, così ho provato alcune cose con i file di risorse.
Ma dal momento che sono un po 'nuovo con questo, non sono completamente sicuro di quello che sto facendo e dove dovrei cercare una soluzione.

Answer 1

Se si sta solo verificando/convalidando il nome utente e la password immessi, utilizzare la classe Rfc2898DerivedBytes (nota anche come funzione di derivazione chiave basata su password 2 o PBKDF2). Questo è più sicuro rispetto all'utilizzo di crittografia come Triple DES o AES perché non esiste un modo pratico per passare dal risultato di RFC2898DerivedBytes alla password. Puoi passare da una password al risultato. Vedi Is it ok to use SHA1 hash of password as a salt when deriving encryption key and IV from password string? per un esempio e discussione per .Net o String encrypt/decrypt with password c# Metro Style per WinRT/Metro.

Se si sta memorizzando la password per il riutilizzo, ad esempio fornendola a terzi, utilizzare Windows Data Protection API (DPAPI). Questo utilizza le chiavi generate e protette dal sistema operativo e l'algoritmo di crittografia Triple DES per crittografare e decrittografare le informazioni. Ciò significa che l'applicazione non deve preoccuparsi di generare e proteggere le chiavi di crittografia, una delle principali preoccupazioni quando si utilizza la crittografia.

In C#, utilizzare la classe System.Security.Cryptography.ProtectedData. Ad esempio, per cifrare un pezzo di dati, utilizzare ProtectedData.Protect():

// Data to protect. Convert a string to a byte[] using Encoding.UTF8.GetBytes(). 
byte[] plaintext; 

// Generate additional entropy (will be used as the Initialization vector) 
byte[] entropy = new byte[20]; 
using(RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider()) 
{ 
    rng.GetBytes(entropy); 
} 

byte[] ciphertext = ProtectedData.Protect(plaintext, entropy, 
    DataProtectionScope.CurrentUser); 

Conservare l'entropia e testo cifrato in modo sicuro, come ad esempio in una chiave di file o Registro di sistema con permessi impostati in modo che solo l'utente corrente in grado di leggerlo. Per ottenere l'accesso ai dati originali, utilizzare ProtectedData.Unprotect():

byte[] plaintext= ProtectedData.Unprotect(ciphertext, entropy, 
    DataProtectionScope.CurrentUser); 

Nota che ci sono considerazioni di sicurezza aggiuntive. Ad esempio, evitare di memorizzare segreti come password come string.Le stringhe sono immutabili, in quanto non possono essere notificate in memoria, quindi qualcuno che guarda la memoria dell'applicazione o un dump della memoria potrebbe vedere la password. Utilizzare invece SecureString o un byte [] e ricordare di eliminarli o azzerarli non appena la password non è più necessaria.

Answer 2

Ho usato questo prima e penso che, al fine di assicurarsi che le credenziali persistere e in un migliore modo sicuro è

1. poterle scrivere sul file di applicazione di configurazione utilizzando il ConfigurationManager classe
2. proteggere la password utilizzando la classe SecureString
3. quindi crittografarla utilizzando gli strumenti nello spazio dei nomi Cryptography.

Questo collegamento sarà di grande aiuto spero: Click here

Answer 3

DPAPI è proprio per questo scopo. Utilizzare DPAPI per crittografare la password la prima volta che l'utente entra, memorizzarla in un luogo sicuro (il registro utente, la directory dei dati dell'applicazione dell'utente, sono alcune scelte). Ogni volta che l'app viene avviata, controlla la posizione per vedere se esiste la tua chiave, se utilizza DPAPI per decrittografarla e consentire l'accesso, altrimenti negarla.

Answer 4

Questo funziona solo su Windows, quindi se si prevede di utilizzare dotnet core multipiattaforma, sarà necessario cercare altrove. Vedi https://github.com/dotnet/corefx/blob/master/Documentation/architecture/cross-platform-cryptography.md