c# - SecureString 用于存储在内存中并显示密码？或者是其他东西？

Question

我一直在使用 C# 为自己编写一个小程序，我可以使用它来存储我的密码，然后检索它们以进行查看/编辑。

虽然密码以加密格式存储到磁盘中，但当它们被读入内存以在表单上显示/编辑时，它们是未加密的。

我了解到内存中存在未加密的密码是一个相当大的安全问题，所以我遇到了 SecureString 类。

有没有比使用 SecureString 类更安全的方法，还是 SecureString 名副其实？

Answer 1

SecureString 将其文本加密保存在内存中，您可以在不需要时立即将其丢弃。问题是，当你想显示它或以几乎任何其他方式使用它时，你必须将它转换为普通字符串，这是不安全的。

另外，我不会过分依赖它——系统无需任何解密 key 即可对其进行解密，这意味着有决心的黑客很可能也能做到这一点。当黑客控制您的计算机时，您无法确定任何事情，他很可能能够访问没有使用良好算法和良好 key 加密的任何内容。