我正在创建一个 C# 应用程序，它将在 Kiosk 风格的环境中锁定功能（组合键、Windows 任务栏等）。其中一项要求是，某些人应该仍然能够使用组合键和密码破解应用程序。
应用程序本身已完全完成，但我还没有找到存储和检查密码的好方法。一切都应该存储在本地（不检查网络数据库或其他）。如何定义用于解锁我的应用程序的密码，同时使其灵活（无需重新编译应用程序即可更改密码）。我怎样才能以安全的方式做到这一点？
【问题讨论】：
标签： c# .net security passwords kiosk
存储密码的安全哈希，它不需要是可逆的。
当有人输入密码时，您使用相同的算法对其进行哈希处理并检查它是否与哈希值匹配。
因为您从不存储实际密码，所以它是安全的。
我建议使用像 PBKDF2 这样的密钥拉伸算法。 .Net 使用 Rfc2898DeriveBytes 对此提供支持，或者您可以使用 System.Web.Helpers.Crypto。
【讨论】：
在配置文件中存储密码的标准方法是使用强哈希算法。阅读How to store passwords in Winforms application? 的答案，也可以阅读https://en.wikipedia.org/wiki/Cryptographic_hash_function 的wiki 文章
【讨论】：
我不得不不同意 Brian，因为到目前为止，在任何数据库中存储密码的标准方法是“加盐”（有关详细说明，请参阅 Wikipedia）密码具有随机生成的值并存储散列值以及“数据库”中的盐（见备注）。盐不是秘密，因此您可以将其存储为纯文本。每当用户输入您从文件中读取盐的密码时，将其应用于输入的密码，然后应用您选择的哈希算法。然后将结果与存储的哈希值进行比较。如果它们匹配，则对用户进行身份验证。对于一个好的（和有趣的:)）解释为什么“只是”散列密码是不够的，请参阅：How NOT to store passwords! 有关 C# 中加盐和散列过程的教程实现，请参阅：C# Salting & Hashing Passwords
你也可以在这里找到一个好方法：https://stackoverflow.com/a/12657970
为了快速参考，伪代码中的过程：
第一个密码存储：
//get user input
username = GetUserName
password = GetPassword
//generate random salt
salt = GetRandomValue
//combine password and salt and apply hash
hashedPassword = Hash(password + salt)
//store hash value and salt in database
AddToDatabase(username, hashedPassword, salt)
用户登录：
//get user input
username = GetUserName
password = GetPassword
//read salt from database
salt = GetSaltFromDatabase(username)
//combine password and salt and apply hash
hashedPassword = Hash(password + salt)
//compare hash to stored hash value
correctHash = GetHashFromDatabase(username)
if (hashedPassword == correctHash) then
passwordIsCorrect = True
else
passwordIsCorrect = False
end if
备注：
【讨论】：
您可以将密钥和密码的哈希值存储在某处，例如某个本地文件中。当用户输入密钥和密码时，您会获得此值的哈希值并将其与文件中的哈希值进行比较。
【讨论】：
您需要密码的哈希值并使用哈希文本进行验证。添加盐可以使您的密码更安全。在 .Net 中，您可以使用 System.Security.Cryptography.RNGCryptoServiceProvider 。
Here 是一篇关于如何存储密码的好文章，我在我的 Web 应用程序中使用了它。
【讨论】：
使用SectionInformation 类中的ProtectSection() 和UnprotectSection() 方法相对容易。见这篇文章：
http://www.davidgiard.com/2012/06/05/EncryptingAndDecryptingApplicationConfigSections.aspx
http://msdn.microsoft.com/en-us/library/system.configuration.sectioninformation.protectsection.aspx
【讨论】：