windows - 有没有比 Windows DPAPI 更安全的方法来保护和存储密码？

Question

有没有比 Windows DPAPI 更安全的方式来保护和存储密码？

我的程序需要存储一个 secret (类似于凭据)以在 Windows 上进行自动登录，并且这个 secret 必须与其他用户帐户共享，因为该程序可以在不同帐户上运行但共享凭据。

我需要保护这个 secret 不被篡改，以避免攻击者注入(inject)他自己的凭据并取得控制权。如果攻击者具有物理访问权限，我知道我们无能为力，但是......目前，存储和保护此 secret 的最佳方法是什么？

Answer 1

如果您想保护某些内容免受篡改，您最好采用多级方法。这样做的缺点是获得访问权限(即使有所有 secret )是一项天文数字的壮举，并且会增加您的登录时间。

但是请记住，系统的安全取决于其最薄弱的环节；您可以将文件保存在隐藏的加密卷中，隐藏在更多自定义加密层之后，但如果您在办公 table 旁的便利贴上有密码，很可能它不会长期安全。

这同样适用于 Windows 上的安全性。 ACL 和加密仅与您的管理员帐户一样强大。有关安全提示，请尝试 Server Fault .

至于系统本身，通过 key 或数字证书以某种方式实现公钥加密(非对称加密)并为每个用户提供他们自己的个人 key /ID 是一种更安全且风险更小的替代方案。
Windows 至少从 windows server 2000 开始支持公钥基础设施。 ;如果您有相应的硬件，您甚至可以使用智能卡登录。

请考虑以下几点:
1. 攻击者从用户处获取私钥(带有保护)。在一般硬件上，这可以在一两个小时内被破坏 @2048bit。在这个例子中，您只需要删除用户的公钥并让他们重新生成一个新 key 。
2. 攻击者获取了用户的数字证书，那么你有两种选择:

1) Remove their certificate from the Active Directory store, ACL or other certificate store.
2) Issue a revocation on the certificate, and forceably expire it. This assumes your are acting as the certificate authority.

简而言之，这个答案说明了一件事:如果您非常担心密码安全性，那么您不应该使用密码。如果您让您的系统永远崩溃，那么替代方法是使用密码的僵尸网络暴力破解。