Windows 8で機密データを保存するためのベストプラクティス

Question

機密データをWindows 8のローカルファイルに保存する最適な方法は何ですか？私はoAuthトークン/パスワードを格納する必要があるC＃アプリケーションを開発しています。データを暗号化/復号化するのは.NETで一般的だと聞いたことがありますが、その仕組みについての経験はありません。 Windows 8のアプリケーションにWindows Phoneと同様の個人用/保護された記憶領域があることを前提に、暗号化は推奨/必要ですか？

また、データを要求する度に暗号化/復号化を実行しても、パフォーマンスに問題はありませんか？ （カスタム/ liteのアルゴリズムを記述する方がよいでしょうか？）

Answer 1

UPDATE：は現代/メトロアプリは、お互いのもので突いてから制限されている一方で、デスクトップアプリケーションがこれらのAPIを介して格納されているすべてのデータに無制限にアクセスできるようになりますのでご注意ください。これを示すコードを含むhttp://www.hanselman.com/blog/SavingAndRetrievingBrowserAndOtherPasswords.aspxを参照してください。

---

Win8はあなたのためにすべてのこれらのハードの問題の世話をするために設計されていますPasswordVaultと呼ばれる新しいAPIがあります。本当に使いやすく、安全で、ユーザが自分のマシン間を移動するように設定できるため、一度認証情報を入力するだけです。私は正常にOAuthトークンのためにこれを使用しました

資格情報の取得（WinRTが発生する愚かな例外に注意してください...彼らは本当にただのヌルを返す必要があります）：

const string VAULT_RESOURCE = "[My App] Credentials"; 
string UserName { get; set; }; 
string Password { get; set; }; 
var vault = new PasswordVault(); 

try 
{ 
    var creds = vault.FindAllByResource(VAULT_RESOURCE).FirstOrDefault(); 
    if (creds != null) 
    { 
     UserName = creds.UserName; 
     Password = vault.Retrieve(VAULT_RESOURCE, UserName).Password; 
    } 
} 
catch(COMException) 
{ 
    // this exception likely means that no credentials have been stored 
} 

資格情報の保存：

ユーザーがアプリでログアウトボタンをクリックした資格証明書（）の削除

vault.Add(new PasswordCredential(VAULT_RESOURCE, UserName, Password)); 

：攻撃者である

vault.Remove(_vault.Retrieve(VAULT_RESOURCE, UserName)); 

Answer 2

あなたは、このように暗号化することができます：

public static string EncodePassword(string password) 
    { 
     byte[] bytes = Encoding.Unicode.GetBytes(password); 
     byte[] inArray = HashAlgorithm.Create("SHA1").ComputeHash(bytes); 
     return Convert.ToBase64String(inArray); 
    } 

そして、ユーザの入力をチェックするとき、あなたもこの方法にそれをトロウし、それをチェックします一致。

暗号化/復号化するXMLに入れるデータの場合は、RijndaelManagedを使用できます。

-Edit1-

例： あなたがポップアップする小さなログイン画面（にShowDialog）を持っている場合、あなたがすることができ、それがこの中略 - それが好きです：

private void settings_Click(object sender, RoutedEventArgs e) 
{ 
    Login log = new Login(); //login window 
    log.ShowDialog();   //show the login window 
    string un = log.userName.Text; //the user input from the username field 
    string pw = log.passWord.Password; //the userinput from the password input 
    if (EncodePassword(un) == Properties.Settings.Default.adminUsername && EncodePassword(pw) == Properties.Settings.Default.adminPassword) //in my case, i stored it in the app settings, but this could also be somewhere else. 
    { 
     //login was correct 
     //do something 
    } 
    else 
    { 
     //login was not correct 
    } 
} 

Answer 3

それ本当に必要な場合は、3DES/RC2/Rijndaelなどの2方向暗号化アルゴリズムを使用する必要がありますパスワードを格納する必要がある場合に必要なものに依存します。

しかし、パスワードが正しいかどうかを確認することができるようにするには、oneway関数を使用してハッシュを格納することをお勧めします。

機密データを扱う場合は、Windows 8を使用していても暗号化/ハッシュすることをお勧めします。暗号化は余分なオーバーヘッドを意味しますが、ほとんどの場合、速度の違いに気付かないでしょう。

独自のカスタム/ライトアルゴリズムを記述する方がよいでしょうか？警備員として、私はそれに反対することを勧めます。人々は何年もの間、既存のアルゴリズムに穴をあけることをテストし、改善し、試しています。したがって、生き残ったものはかなり良いです。