ДофаминВ случае авторизации юзера ясно, что хранить пароль нет смысла - достаточно хранить его хеш и сравнивать хеши. Но как быть в таком случае:

прога (С++) периодически коннектится к ftp (да хоть к чему, принцип один) и при коннекте засылает туда логин-пароль, откуда его брать? Ясно, что приходится его хранить (в конфиге, или базе), но хранить в открытом виде - как-то совсем не красиво, как бы его зашифровать? Т.е. сам алгоритм может быть любой, и наверно CryptoAPI тут поможет, вопрос скорее в том, что может быть ключом...

как обычно решается такая типичная задача???
1. В прогу заходит юзер.
Берем любой алгоритм шифрования (хоть тот же rar с паролем) и шифруем им персональные данные пользователя. Пользователь заходит в прогу, вводит пароль. Если не верно - расшифровали чепуху, контролька не сошлась, пользователь послан на пару секунд. Если ввел верно - получили настройки, пароли и прочую необходимую инфу для доступа куда-то.

2. Прога-демон.
Пароль вводить некому. Потому авторизационные данные должны храниться в защищенном от ПОСТОРОННИХ месте. Если эта прога выполняется на сервере, так это уже задача защищенности сервера. Например, имеем веб-сетрвер на PHP. В одном из его конфигурационных файлов в открытом видем храним логин доступа к БД. При этом задача его сокрытия от посторонних глаз ну никак не на PHP ложится, а уже на сам сервер. Т.е. задача админа дать доступ к этим файлам только движку PHP, себе и никому больше. Точно так же и с твоей прогой. Сначала надо выяснить ОТ КОГО прячем пароль? Если не желательно владельцу компа его знать, то сделать защиту от дурака, тот же unrar подключить или библиотеку шифрования и расшифровывать логин явно заданным в проге паролем (или собираемым из кусочков), можно так же и из сети пароль на расшифровку запрашивать, не суть важно. Если скрыть от злоумышленников - то это уже задача админа компа, а не твоей проги.

ДофаминА снифер тут вряд ли поможет (защищенный vpn, ssl и т.п.).

А просто из памяти работающей проги его забрать?

ДофаминEdd.Dragon,

Согласен, возможно несколько вариантов уровня доступа "злоумышленника", выделю 2 основных:

1. Доступ к БД, в которой хранится пароль для доступа к серверу.
2. Доступ также и к самой программе, которая за настройками лезет в БД, потом используя их коннектится к серверу.

В первом случае достаточно шифровать пароль фиксированным ключом, зашитым в код - ведь проги у хакера нет.

Во-втором он может дизассемблировать код, или залезть в память запущенной проги и извлечь пароль. НО. Если он зашифрован относительно учетной записи виндового юзера, то ему придется запустить украденную программу под точно той же учеткой, что, мягко говоря, затруднительно. Создать на своем компьютере идентичную учетку он тоже вряд ли сможет. Если только не снимет образ диска с исходной машины и не взломает ее пароль.
Не. Нужно заразить тот комп, на котором прога запускается и с него стырить. А если злоумышленник увел с компа прогу себе - так это уже действиетльно ответственность пользователя.

И тут уже, если речь идет о большом количестве пользователей, которых не научишь "мыть руки перед едой", то тогда уже на стороне сервера надо какие-то механизмы вводить. Типа с такого-то компа с таким-то паролем есть доступ. Если попытались получить доступ с этим паролем с другого компа - блокировать до выяснения обстоятельств. Короче, это уже от задачи зависит.

При чем, с логинами на добавление инфы в БД можно особо не мучаться. А с логинами на получение не всем положенной инфы - наоборот - надо хорошо повозиться.