如何在Windows应用程序基础上安全地存储客户端秘密？

Question

我想存储有价值的客户数据(例如。密码，OAuth令牌)，以一种只能从一个应用程序访问它们的方式(基于应用程序的分离)。该机制必须是透明的用户-额外的密码保护将是恼人的。

在Windows中有什么方法可以做到这一点吗？

(在Android情况下，通过分配每个应用程序唯一的用户ID并利用标准*nix机制，这种分离是可能的。)

我知道存在隔离存储(http://msdn.microsoft.com/en-us/library/3ak841sy.aspx)，但文档明确指出，不建议存储有价值的数据：

在以下情况下，不应使用隔离存储：

• 存储高值机密，如未加密的密钥或密码，因为隔离存储不受高度信任的代码、非托管代码或计算机可信用户的保护。

Answer 1

在将数据存储在隔离存储中之前，应该使用DPAPI对数据进行加密。虽然DPAPI主要针对的是每个用户的安全性，而不是针对每个应用程序，但它确实为您的场景提供了一些条款：

使用登录密码的一个小缺点是，在同一用户下运行的所有应用程序都可以访问他们所知道的任何受保护的数据。当然，由于应用程序必须存储自己的受保护数据，因此对其他应用程序来说，获得数据访问可能有些困难，但肯定不是不可能的。为了抵消这一点，DPAPI允许应用程序在保护数据时使用额外的秘密。然后需要这个额外的秘密解除对数据的保护。