存储用于针对另一个系统进行身份验证的密码

DPAPI通常不能在web场中使用-密钥存储是特定于机器的。您没有指定某些用户是否共享一组凭据,而另一个用户是否共享另一组凭据。如果所有用户共享同一组凭据,请将其存储在web.config中,然后使用它。使用web.config文件上的配置加密API或简单ACL保护凭据。

如果不同的用户具有不同的第三方系统凭据,我将使用用户密码的散列+一个salt作为加密密钥与用户一起存储凭据。然后,即使恶意用户获取了您的数据库,他们也必须能够在尝试破解第三方密码之前先解密您用户的密码。盐在这样做时又增加了一层困难。

请记住,DPAPI密钥位于用户级别。除非您要为每个用户设置和存储单独的凭证集副本,否则DPAPI不会对您有任何好处。要做到这一点,唯一真正安全的方法是使用“受信任的子系统”模型,在该模型中,您以某个用户的身份运行Windows服务,并使用该用户的DPAPI密钥加密该用户的HKCU配置单元中存储的受保护数据。它代表用户对需要身份验证的系统执行所有操作,并且用户名/密码不会加载到用户的进程中。即使这样,如果用户是管理员,从技术上讲,他们仍然可以通过调试服务流程获得用户名/密码。

真正安全的方法是做同样的事情,但是远程使用Windows凭据将用户授权到代表用户执行操作的远程服务器。实际上,这取决于用户名/密码的安全性。

但是,您的操作系统(如Windows)可能确实提供了保护文件的方法,而且这些方法可能是由经验丰富的专家实施的-很难建议您投入时间来保护自己的文件!

• 全磁盘加密

如果机器/服务是无人值守的,则需要考虑如何在启动时“登录”。

这个问题本身包含在安全免责声明中,因此这一点不需要赘述。

• 它将阻止空闲的对等方访问服务器上的终端