c# - 安全(加密)困境

Question

我有一个访问数据库的内部 WPF 客户端应用程序。

该应用程序是支持团队的中央资源，因此包括客户的远程访问/登录信息。目前，该数据库无法通过 Web 界面等方式访问，但有朝一日可能会。

远程访问信息包括客户网络的用户名和密码，以便我们可以远程支持客户的软件应用程序。我需要将用户名和密码存储在数据库中，并为支持顾问提供对它们的访问权限，以便他们可以登录到客户的系统，然后提供支持。希望这是有道理的。

所以问题在于，我不想将用户名和密码以明文形式存储在数据库中，以确保如果数据库遭到破坏，我不会向获得数据库的任何人提供对我们客户网络的访问权限。

我看过密码的双向加密，但正如他们所说，双向与明文没有太大区别，就好像你可以解密它一样，攻击者也可以……最终。这里的问题是我已经设置了一个方法来使用存储在应用程序中的盐和密码，我使用了存储在数据库中的盐，但都有它们的弱点，即如果应用程序被反射(reflect)它暴露盐等

我如何保护我数据库中的用户名和密码，同时仍然为我的支持顾问提供查看应用程序中信息的能力，以便他们可以使用它进行登录？

这显然不同于存储用户密码，因为这是一种方式，因为我不需要知道它们是什么。但我确实需要知道客户端的远程访问密码是什么，因为我们需要在远程访问它们时输入它们。

有人对这里的最佳方法有一些理论吗？

更新我正在尝试构建的功能是针对我们的 CRM 应用程序的，该应用程序将存储客户端的远程访问详细信息。 CRM 系统提供调用/问题跟踪功能，在调查问题的过程中，支持顾问将需要远程访问。然后他们将查看客户的远程访问详细信息并建立连接

Answer 1

有几种方法可以做到这一点；最佳解决方案将取决于您的支持团队访问客户站点的方式、支持团队的成员人数以及您的应用程序的架构。

做这样的事情的最好方法是使用像 Kerberos 这样的东西。这样，支持团队的成员就不必委托(delegate)客户的密码——他们可以写下并在以后用来攻击客户的密码。支持团队可以立即撤销成员的访问权限，而无需客户采取任何行动。

但是，我猜测这是一个更危险的系统，团队成员会获得密码以通过远程桌面、SSH 或类似方式访问客户端系统。在这种情况下，当客户密码泄露给团队成员时，将承担很大的责任。

就我个人而言，我不会接受这种风险。不是我觉得我不能信任我的团队，而是我不能信任我的客户。如果他们的网站发生了什么事(或者即使他们只是假装发生了什么事)，突然间我就会成为嫌疑人。我宁愿设计一个没有人可以单独访问客户系统的系统。这可以保护客户免受我团队中的害群之马，并保护我免受错误指控。

无论如何，一种方法是为每个团队成员生成 key 。这些可以是基于密码的对称加密 key ，但是必须集中保存一些 secret key 。更好的办法是使用像 RSA 这样的非对称算法。然后只有团队成员的公钥被集中保存。

当从客户那里收到新密码时，使用每个需要副本的团队成员的公钥对其进行加密。这个加密的密码可以存储在数据库中，并在团队成员每次请求时提供给他们，也可以主动推送给团队成员让他们存储。在任何一种情况下，当需要时，密码都会用团队成员持有的私钥解密(在用他们选择的密码加密的 keystore 中)。

这也有缺点。重申上述观点，团队成员可以访问客户密码。他们值得这份信任吗？如果客户发生了与本系统无关的安全漏洞，但想把责任推给某人怎么办？其次，虽然服务器上没有存储解密 key ，但仍需要为每个团队成员的公钥建立信任。否则，攻击者可能会将他们自己的流氓公钥放入集合中并接收他们可以解密的密码。