Felhasznalo jelszava helyi fajlban titkositva megfelelo-e?

A felhasználó nevet és a jelszót mindenképpen. Az adatbázishoz való kapcsolódás többi elemét felesleges mivel azt többen is használ(hat)ják.

Bár én a titkosításra egyedi algoritmust írnék :)

Ha a futtatási környezet valamely, egyszerre állandónak és egyedinek tekinthető paraméterei alapján kiszámítasz egy sót a titkosítókulcshoz, az megakadályozza/-hatja, hogy más környezetben, az EXE és a userdata fájl együttes birtokában, a titkosítás feloldható legyen. A salt használata amúgy is kvázi kötelező :)

Szabadjon megjegyeznem, hogy mentett jelszavak esetén semmi sem garantálja a biztonságot.

A többi stringet is illik titkosítani, hogy egy esetleges támadónak a lehető legkevesebb támpontot szolgáltasd a biztonsági intézkedések megkerüléséhez. Bonyolíthatod a kommunikációt SSL/HTTPS/rózsabimbó alatt...

#5 Igen, ez megakadályozza első lépésben.

Viszont ekkor a "tolvaj" azt tudja tenni, hogy elviszi az exe-t.

Otthon megvizsgálja a programot, ír egy olyan programot, ami kiszámolja ugyanezt a sót. (Igazából nem is kell sajátot írni, mivel .NET-es programról van szó, elég egyszerűen le tudod futtatni bármely private metódusát, azaz ami a sót számolja azt is...akár saját kódból, akár reflecor+smoketest-tel, akár reflector+reflexillel picit módosítod, hogy egy msgboxban megmutatssa)

Visszamegy a géphez, ahol a cucc van. Lefuttatja a programját, és viszi a sót és a userdata-t.

Ha a gépen ahol a program fut a "tolvaj" adminisztrátori jogokkal rendelkezik, akkor semmit nem tudsz ellene tenni. Ha nem admin, akkor már jobbak az esélyeid.

#6 Ilyen ez a popszakma. 100% -os biztonság nincs, nem is lesz. Mentett jelszót megvédeni komoly támadóval szemben gyakorlatilag esélytelen, viszont a hozzáférés megnehezíthető oly mértékben, hogy a legtöbb próbálkozónak ne érje meg.

BTW ott van a Chrome, vagy a Firefox, mint nyílt forrású szoftver, ami rendelkezik ilyen funkcionalitással. Bele lehet nézni, hogy ők hogyan oldották meg a problémát.

Ahogy többen mondták már, mentett jelszó sosem lesz biztonságos, de jó tippeket adtak a biztonság fokozására.

Simkol meg hülye, ne hallgass rá. A saját algoritmus két dologra jó: sok időt visz el, és semmit nem tudsz a tényleges biztonságáról. De semmiképp nem javítja a biztonságot. Alapvetős ebben a témában, hogy az algoritmust ismertnek kell feltételezni, főleg egy .net-es program esetén halál lazán visszafejtik, de natívból is ki lehet szedni.