Cómo guardar de forma segura el nombre de usuario/contraseña (local)?

Question

Estoy haciendo una aplicación para Windows, en la que primero debe iniciar sesión.
Los detalles de la cuenta constan de nombre de usuario y contraseña, y deben guardarse localmente.
Es solo una cuestión de seguridad, por lo que otras personas que usan la misma computadora no pueden ver los datos personales de todos.
¿Cuál es la mejor/la manera más segura de guardar esta información?

No quiero usar una base de datos, por lo que intentaron algunas cosas con archivos de recursos.
Pero dado que soy algo nuevo con esto, no estoy del todo seguro de lo que estoy haciendo y de dónde debería buscar una solución.

Answer 1

Si solo va a verificar/validar el nombre de usuario y contraseña ingresados, use la clase Rfc2898DerivedBytes (también conocida como Función de derivación de clave basada en contraseña 2 o PBKDF2). Esto es más seguro que usar cifrado como Triple DES o AES porque no hay una forma práctica de pasar del resultado de RFC2898DerivedBytes a la contraseña. Solo puede pasar de una contraseña al resultado. Vea Is it ok to use SHA1 hash of password as a salt when deriving encryption key and IV from password string? para un ejemplo y discusión para .Net o String encrypt/decrypt with password c# Metro Style para WinRT/Metro.

Si está almacenando la contraseña para su reutilización, como el suministro a un tercero, utilice el Windows Data Protection API (DPAPI). Esto utiliza claves protegidas y generadas por el sistema operativo y el algoritmo de cifrado Triple DES para cifrar y descifrar información. Esto significa que su aplicación no tiene que preocuparse por generar y proteger las claves de cifrado, una preocupación importante al usar la criptografía.

En C#, use la clase System.Security.Cryptography.ProtectedData. Por ejemplo, para cifrar un pedazo de datos, utilice ProtectedData.Protect():

// Data to protect. Convert a string to a byte[] using Encoding.UTF8.GetBytes(). 
byte[] plaintext; 

// Generate additional entropy (will be used as the Initialization vector) 
byte[] entropy = new byte[20]; 
using(RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider()) 
{ 
    rng.GetBytes(entropy); 
} 

byte[] ciphertext = ProtectedData.Protect(plaintext, entropy, 
    DataProtectionScope.CurrentUser); 

tienda de la entropía y el texto cifrado de forma segura, como en un archivo o clave de registro con los permisos definidos de modo que sólo el usuario actual puede leerlo. Para conseguir el acceso a los datos originales, utilice ProtectedData.Unprotect():

byte[] plaintext= ProtectedData.Unprotect(ciphertext, entropy, 
    DataProtectionScope.CurrentUser); 

Tenga en cuenta que existen consideraciones de seguridad adicionales. Por ejemplo, evite almacenar secretos como contraseñas como string.Las cadenas son inmutables, ya que no se pueden notificar en la memoria para que alguien que esté mirando la memoria de la aplicación o un volcado de memoria pueda ver la contraseña. Use SecureString o un byte [] en su lugar y recuerde desecharlos o ponerlos en cero tan pronto como ya no necesite la contraseña.

Answer 2

he utilizado esto antes y creo que con el fin de asegurarse de credencial de persistir y de la mejor manera segura es

1. que puede escribirlos en el archivo de la aplicación de configuración utilizando la clase ConfigurationManager
2. proteger la contraseña usando la clase SecureString
3. y luego encriptarla usando herramientas en el espacio de nombres Cryptography.

Este enlace será de gran ayuda espero: Click here

Answer 3

DPAPI es sólo para este propósito. Use DPAPI para encriptar la contraseña la primera vez que ingresa el usuario, guárdela en una ubicación segura (el registro del usuario, el directorio de datos de la aplicación del usuario, son algunas opciones). Cada vez que se inicie la aplicación, verifique la ubicación para ver si su clave existe, si usa DPAPI para descifrarla y permitir el acceso, de lo contrario, denieguela.

Answer 4

Esto solo funciona en Windows, por lo que si planea usar dotnet core multiplataforma, tendrá que buscar en otra parte. Consulte https://github.com/dotnet/corefx/blob/master/Documentation/architecture/cross-platform-cryptography.md