C# - 在本地安全地存储密码

Question

我正在创建一个 C# 应用程序，它将在 Kiosk 风格的环境中锁定功能(组合键、Windows 任务栏等)。其中一项要求是某些人仍然应该能够使用组合键和密码来突破应用程序。

应用程序本身已完全完成，但我还没有找到存储和检查密码的好方法。一切都应该存储在本地(没有检查网络数据库或其他)。我如何定义一个密码来解锁我的应用程序，同时又使它变得灵活(无需重新编译应用程序即可更改密码的能力)。如何以安全的方式完成此操作？

Answer 1

存储密码的安全散列，它不需要是可逆的。

当有人输入密码时，您会使用相同的算法对其进行哈希处理，并检查它是否与哈希匹配。

因为您永远不会存储实际密码，所以它是安全的。

我建议使用像 PBKDF2 这样的 key 拉伸(stretch)算法。 .NET 使用 Rfc2898DeriveBytes 对此提供支持，或者您可以使用 System.Web.Helpers.Crypto .

此外，您使用的密码应该很长(至少 12 个字符，但越长越好)并用额外的字符串加盐以阻止攻击者使用彩虹表攻击。