C # - безопасное хранение пароля локально

Стандартный метод хранения пароля в файле конфигурации - использование сильного алгоритма хеширования. Прочтите ответ на странице Как хранить пароли в приложении Winforms? и, возможно, статья вики по адресу https://en.wikipedia.org/wiki/Cryptographic_hash_function

Храните безопасный хэш пароля, он не должен быть обратимым.

Когда кто-то вводит пароль, вы хешируете его по тому же алгоритму и проверяете, соответствует ли он хешу.

Поскольку вы никогда не храните фактический пароль, это безопасно.

Я рекомендую использовать алгоритм растяжения ключа, например PBKDF2. .Net поддерживает это с помощью Rfc2898DeriveBytes, или вы можете использовать _ 2_.

Вы можете где-нибудь сохранить хэш ключа и пароль, например в каком-нибудь локальном файле. Когда человек вводит ключ и пароль, вы получаете хеши для этих значений и сравниваете их с хешами в вашем файле.

Я должен не согласиться с Брайаном, потому что на данный момент стандартным методом хранения паролей в любой базе данных является «соль» (см. Википедия для подробного объяснения) пароль со случайно сгенерированным значением и сохраните хешированное значение и соль в своей «базе данных» (см. примечания) . Соль не является секретом, поэтому вы можете хранить ее в виде обычного текста. Каждый раз, когда пользователь вводит пароль, вы читаете соль из своего файла, применяете ее к введенному паролю, а затем применяете выбранный вами алгоритм хеширования. Затем вы сравниваете результаты с сохраненным хешем. Если они совпадают, пользователь аутентифицируется. Хорошее (и занимательное :)) объяснение того, почему «просто» хеширования пароля недостаточно, см .: Как НЕ хранить пароли! Учебное пособие по реализации процесса соления и хеширования на C # см .: C # Salting & Hashing Passwords

Вы также можете найти хороший способ сделать это здесь: https://stackoverflow.com/a/12657970

Для справки, процесс в псевдокоде:

Хранение первого пароля:

//get user input
username = GetUserName
password = GetPassword

//generate random salt
salt = GetRandomValue

//combine password and salt and apply hash
hashedPassword = Hash(password + salt)

//store hash value and salt in database
AddToDatabase(username, hashedPassword, salt)

Логин пользователя:

//get user input
username = GetUserName
password = GetPassword

//read salt from database
salt = GetSaltFromDatabase(username)

//combine password and salt and apply hash
hashedPassword = Hash(password + salt)

//compare hash to stored hash value
correctHash = GetHashFromDatabase(username)
if (hashedPassword == correctHash) then
    passwordIsCorrect = True
else
    passwordIsCorrect = False
end if

Примечания:

• Это предполагает, что ваши имена пользователей уникальны, поскольку они используются в качестве ключа идентификации в вашей «базе данных».
• «База данных» не обязательно должна быть какой-либо «реальной» базой данных, это также может быть ваш файл конфигурации или простой текстовый файл.

Вам нужен хэш пароля и проверка с помощью хешированного текста. Добавление соли может сделать ваш пароль более надежным. В .Net вы можете использовать System.Security.Cryptography. RNGCryptoServiceProvider.

Здесь хорошая статья о том, как хранить ваши пароли, и я использую ее в своем веб-приложении. .

Относительно легко использовать методы ProtectSection() и UnprotectSection() из класса SectionInformation. См. Эту статью:

http://www.davidgiard.com/2012/06/05/EncryptingAndDecryptingApplicationConfigSections.aspx

http://msdn.microsoft.com/en-us/library/system.configuration.sectioninformation.protectsection.aspx