我可以安全地保存密码并在不要求输入主密码的情况下找回密码吗？

Question

我试图了解如何安全地保存在我的应用程序中使用的密码，因此用户不必记住它们，但是与此同时，没有人可以让他们查看我的应用程序中的数据。

我想应该对包含密码的文件进行加密，我的疑问是用户是否必须输入“主密码”来检索存储的密码，或者是否有任何方法使得只有我的应用程序才能在没有用户输入的情况下检索它们。 。

我的应用程序可以在无需用户输入主密码的情况下检索密码吗？ 怎么做？

Answer 1

在Windows上，最好的解决方案是使用Chrome，IE，远程桌面连接和许多其他技术使用的数据保护API来加密数据。

这样做的好处是，数据将使用用户自己的Windows密码（以一种绕行方式）进行加密。 当用户在Windows中输入密码时，它将使所有“受保护”的数据均可用。

特征：

• 数据已加密
• 用户无需输入密码即可加密数据
• 只有用户可以解密
• 用户不必输入密码即可解密数据

样本伪代码

您想要的API是CryptProtectData和CryptUnprotectData ：

public bytes[] ProtectBytes(bytes[] plaintext)
{
   DATA_BLOB dataIn;
   dataIn.cbData = plaintext.Length;
   dataIn.pbData = Addr(plaintext[0]);

   DATA_BLOB dataOut;

   BOOL bRes = CryptProtectData(
         dataIn,
         null,     //data description (optional PWideChar)
         null,     //optional entropy (PDATA_BLOB)
         null,     //reserved
         null,     //prompt struct
         CRYPTPROTECT_UI_FORBIDDEN,
         ref dataOut);
   if (!bRes) then
   {
      DWORD le = GetLastError();
      throw new Win32Error(le, "Error calling CryptProtectData");
   }

   //Copy ciphertext from dataOut blob into an actual array
   bytes[] result;
   SetLength(result, dataOut.cbData);
   CopyMemory(dataOut.pbData, Addr(result[0]), dataOut.cbData);

   //When you have finished using the DATA_BLOB structure, free its pbData member by calling the LocalFree function
   LocalFree(HANDLE(dataOut.pbData)); //LocalFree takes a handle, not a pointer. But that's what the SDK says.
}

以后，当您需要解密Blob时，可以使用CryptProtectData 。

使用用户的Windows密码（有效）加密数据； 只有拥有Windows密码的人才能解密它。

注意 ：任何发布到公共领域的代码。 无需注明出处。