Пароли вообще никак нельзя хранить. Хранить можно хэши этих паролей, а лучше - хэши результата PBKDF2.

drgdr,

существуют приложения, которые позволяют хранить пароли в зашифрованном виде и шифровать их мастер-паролем. Лучше использовать специальный софт, чем городить самопал непонятного качества.

Из описания - пользователи хотят сохранить пароль, а потом его вспомнить, а-ля браузер?

Для этих целей существуют коммерческие прлграммы, например Citrix Password Manager. Если вы хотите делать свой, и защищать его хорошо, вам предстоит стать экспертом в области компьютерной безопасности, чтобы хотя бы сформулировать проблемы, которые вам предстоит решить.

Ну например, только на клиенте:
- как обезопаситься от ненамеренно попадания пароля в dump, когда ПК попадает на блюскрин
- как не допустить попадания пароля в pagefile, даже временно
- как прятать пароль в памяти от хакера в условиях виртуализации
- как не отдать пароль вирусу который внёс себя в адресное пространство клиента.

Это даже не затрагивает передачу и хранение данных на сервере (что во многих смыслах легче, т.к. контроль конфигурации и физического доступа крепче).

Но и там:
- как не допустить утечку всей базы паролей одним недовольным сисадмином
- как исполнить требование суда о передаче паролей пользователя
- при этом не раскрывая пароли других

После этого система хранения такой ценной информации потребует проверок и продолжающегося надзора. Возможно, сертификаций для допуска к определенным контакторам, и/или для снижения юридической нагрузки. Несомненно - учебных материалов для образования пользователей.

Проработав в этой сфере много лет, я отношусь к таким данным как к обогащенному плутонию - если это не является моей основной задачей - спихнуть на готовое сертифицированное (EAL-х?) решение. Если является - то соразмерный бюджет и команда.

Кто будет/сможет решать проблему когда пароли сотен людей всплыли на DMs, а ты только выбрался на Ямайку и наслаждаешься погодой?

Вот наглядный пример, почему управлением паролями должны заниматься квалифицированные специалисты, а не "Фсе твои проблемы решаются шифрованием".

Вы подумали про защититу служебный паролей от работодателя (серьезно??), но не подумали про защиту от трояна/вируса.

Или от кражи служебного ноута. Или от атаки посредника RDP сессии. Или... вряд ли есть толк все перечислять для того, кто "Фсе твои проблемы решаются шифрованием".

aleks222,

Я надеюсь, вы начали понимать сложность задачи.

Кстати, есть немало пакетов, которые действительно осуществляют защиту паролей от пользователей.
Это не тот сценарий что мы обсуждаем, но ваш пример неудачен. Есть такая ниша.

А "параноик" в моей предыдущей работе был комплимент. Я занимался проектированием систем компьютерной безопасности и их сертификацией. Первое интересно, второе нужно, но необходимо, особенно когда РФ перешла на свои "GOST".