Was kann ich tun, wenn Sie ein Kennwort nicht als Hash speichern können?

Question

Ich habe ein Programm, das System.DirectoryServices.AccountManagement.PrincipalContext verwendet, um zu überprüfen, ob die Informationen, die ein Benutzer in einem Einrichtungsbildschirm eingegeben hat, ein gültiger Benutzer in der Domäne sind (der Computer selbst ist nicht auf der Domäne) und führen einige Operationen für die Benutzer der Domäne aus. Das Problem ist, dass der Benutzer nicht jedes Mal, wenn er das Programm ausführt, sein Kennwort eingeben muss, damit ich es speichern kann, aber ich fühle mich nicht wohl dabei, das Kennwort als Nur-Text in der Datei app.config zu speichern. PrincipalContext benötigt ein Klartext-Passwort, so dass ich keinen gesalzenen Hash machen kann, wie es von allen zum Speichern von Passwörtern empfohlen wird.

Dies ist, was ich tat

const byte[] mySalt = //It's a secret to everybody. 
[global::System.Configuration.UserScopedSettingAttribute()] 
public global::System.Net.NetworkCredential ServerLogin 
{ 
    get 
    { 
     var tmp = ((global::System.Net.NetworkCredential)(this["ServerLogin"])); 
     if(tmp != null) 
      tmp.Password = new System.Text.ASCIIEncoding().GetString(ProtectedData.Unprotect(Convert.FromBase64String(tmp.Password), mySalt, DataProtectionScope.CurrentUser)); 
     return tmp; 
    } 
    set 
    { 
     var tmp = value; 
     tmp.Password = Convert.ToBase64String(ProtectedData.Protect(new System.Text.ASCIIEncoding().GetBytes(tmp.Password), mySalt, DataProtectionScope.CurrentUser)); 
     this["ServerLogin"] = value; 
    } 
} 

War dies das Richtige zu tun oder gibt es einen besseren Weg?

EDIT - Hier ist eine aktualisierte Version basierend auf jedem Vorschlag

private MD5 md5 = MD5.Create(); 

[global::System.Configuration.UserScopedSettingAttribute()] 
public global::System.Net.NetworkCredential ServerLogin 
{ 
    get 
    { 
     var tmp = ((global::System.Net.NetworkCredential)(this["ServerLogin"])); 
     if(tmp != null) 
      tmp.Password = System.Text.Encoding.UTF8.GetString(ProtectedData.Unprotect(Convert.FromBase64String(tmp.Password), md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(tmp.UserName.ToUpper())), DataProtectionScope.CurrentUser)); 
     return tmp; 
    } 
    set 
    { 
     var tmp = value; 
     tmp.Password = Convert.ToBase64String(ProtectedData.Protect(System.Text.Encoding.UTF8.GetBytes(tmp.Password), md5.ComputeHash(System.Text.Encoding.UTF8.GetBytes(tmp.UserName.ToUpper())), DataProtectionScope.CurrentUser)); 
     this["ServerLogin"] = tmp; 
    } 
} 

Answer 1

Statt new System.Text.ASCIIEncoding() zu schreiben, sollten Sie System.Text.Encoding.ASCII schreiben.

Außerdem empfehle ich stattdessen UTF8.

Ansonsten sieht Ihr Code ziemlich gut aus.

Answer 2

Für das Salz, würde ich eine Transformation auf den Benutzernamen (Hash) tun, anstatt das gleiche Salz für alle zu teilen.

Für so etwas würde ich auch nach einer Möglichkeit suchen, die vorhandene Sitzung länger am Leben zu erhalten, anstatt das Kennwort zu speichern, um neue Sitzungen zu erstellen.

Answer 3

Ich mag den JoelCoehoorn-Ansatz.

Verwenden Sie einen Wert, der für den Benutzercomputer eindeutig ist, als das Kennwort "salt".

So wird es in jedem Deplyment anders sein;).

UPDATE: Siehe diesen Thread für Ideen: How-To-Get-Unique-Machine-Signature