C++开发Windows Forms桌面应用如何安全存储敏感字符串

核心前提风险提示 #

你当前场景下所有客户共用同一个云端数据库，绝对不能将完整数据库连接串、公共邮箱密码这类全权限敏感信息存储在客户端，无论加密强度多高，只要客户端本身具备解密能力，就可以通过逆向二进制文件拿到解密逻辑和敏感信息，全量数据会直接暴露。

适配你场景的可选实现方案 #

方案1：高权限用户隔离方案（适配你提到的专属可控用户场景） #

不需要用到复杂的WCF服务，用Windows原生能力即可轻量实现：

• 在设备上创建仅你方可控的高权限专属Windows用户，使用Windows内置DPAPI加密所有敏感信息，加密时指定CurrentUser作用域，加密后的密文可以存放在公共可访问的配置目录，只有这个专属用户可以解密，客户日常使用的运行应用的普通用户拿到密文也无法解密
• 开发一个极简的Windows后台服务，运行在该专属高权限用户的上下文下，对外只暴露2个本地接口：① 接收客户端上传的采集数据并写入云端数据库 ② 接收邮件发送请求并调用公共邮箱发送，接口可以用本地命名管道/Windows RPC实现，C++可直接调用原生API开发，不需要额外框架，也不会对公网暴露端口
• 本地的Windows Forms应用只需要和本地后台服务通信，完全不需要持有任何高权限敏感信息

方案2：后端中转轻量化方案（成本最低的推荐方案） #

从根源上减少客户端存储的敏感信息范围：

• 将数据库写入、邮件发送的逻辑全部迁移到你方的后端API服务，客户端只需要申请权限受限的API调用凭证，凭证仅允许上传对应客户的采集数据、触发对应场景的邮件发送，无法访问其他客户的数据，也无法操作数据库的其他内容
• 必须本地存储的API凭证用DPAPI加密，加密时指定运行应用的普通用户的CurrentUser作用域，C++调用CryptProtectData、CryptUnprotectData两个原生API即可完成加解密，不需要额外依赖，就算客户拿到加密后的配置文件，切换到其他用户也无法解密

这类客户端场景的通用安全规范 #

• 优先做敏感信息的最小权限拆分：能放到后端处理的逻辑不要放在客户端，从根源上避免高权限信息落地到客户端
• 必须本地存储的敏感信息不要自己实现加密算法，优先用系统原生的成熟加密能力（Windows下用DPAPI，Linux下用libsecret），避免自定义加密的实现漏洞
• 加密时尽可能缩小解密权限范围，优先用用户级加密作用域，不要用机器级作用域，避免同机器其他用户拿到密文解密
• 永远不要把敏感信息硬编码在二进制文件中，哪怕做了代码混淆、加壳也有被逆向提取的风险
• 所有客户端和云端的通信全程走HTTPS，避免传输过程中凭证被窃听

内容的提问来源于stack exchange，提问作者Ferran Capallera Guirado