twitter - 保护桌面应用程序中的用户密码(修订版 2)

Question

我正在制作一个 twitter 客户端，并且正在评估保护用户登录信息的各种方法。

重要提示:我需要保护用户的数据免受其他应用程序的影响。例如，想象一下如果机器人开始从用户桌面上运行的应用程序中窃取 Twhirl 密码或 Hotmail/GMail/Yahoo/Paypal 会发生什么。

澄清:我之前在没有“重要”部分的情况下问过这个问题，但是 stackoverflow 的 UI 对稍后在 Q/A 对话中添加细节没有帮助。

散列显然不行

以可逆的方式进行混淆就像试图躲在我的手指后面

纯文本听起来很混杂

要求用户每次都输入密码会使应用程序厌烦

有任何想法吗 ？

Answer 1

这是第 22 条规则。要么让用户每次都输入他的密码，要么不安全地存储它(混淆、加密等等)。

解决这个问题的方法是让更多的操作系统加入内置的密码管理器——比如 OS X 的钥匙串(keychain)。这样，您只需将密码存储在钥匙串(keychain)中，操作系统即可确保其安全，用户只需输入 1 个主密码。 OS X 上的许多应用程序(如 Skype)使用 Keychain 来完成您所描述的操作。

但由于您可能使用的是 Windows，我想说只是进行一些混淆和加密。我认为您可能对密码窃取机器人有点偏执；如果您的应用程序没有大量用户群，那么有人会针对它并专门尝试窃取密码的可能性非常低。除此之外，他们还必须有权访问受害者的文件系统。如果是这种情况，他们可能有病毒/蠕虫并且有更大的问题。