Encrypted password in a plain text file

Gleich vorweg: Ich bin kein Entwickler, ich hab kein Studium dazu und ich muss es auch nicht machen also braucht keiner Angst haben dass "wieder jemand an etwas arbeitet von dem er keine Ahnung hat"
Möchte eigentlich nur den Workflow verstehen wie sowas ordentlich gemacht gehört. Habe ein 3rd Party Programm für die Arbeit untersucht weil das ein verschlüsseltes Passwort abspeichert und es war selbst für mich kein Problem die super duper AES256 Verschlüsselung zu knacken weil die encryption strings recht offensichtlich in der Binary zu lesen waren

Beispiel:
Windows user password gespeichert in einem Plain-Text-File (.txt z.B.), natürlich verschlüsselt (AES256 blah).

Ein static encryption string im Code ist natürlich schwachsinnig und verhindern dass den jemand ausliest kann man wohl auch nicht > also by default insecure.
Wie macht man das normalerweise so dass mehr als 1 PC das File auslesen kann aber auch nach aktuellen Standards secure ist?

Könnte mir vorstellen irgendein 3rd Party (openssl?) keystore worauf dann alle notwendigen Parteien Zugriff haben?
Oder (falls vorhanden) via Domain Authentication check wenn alle Parteien in derselben Domain sind oder Trust Relationship haben?

Jedes (zur symmetrischen Verschluesselung genutzte) Secret, das dein Code verarbeiten muss, muss im Klartext durch diesen Code durch. Alles andere faellt unter asymmetrische Kryptographie, und eignet sich nicht fuer den von dir gebrauchten Zweck (ein Secret wo quasi offen liegenzulassen, sodass man es zwar als z. b. kryptographisch dazu autorisierte Entiaet zur authn verwenden, aber der Verwender es nicht auch irgendwie *anders* als zur authn verarbeiten kann).

Alternativen dazu waeren in der Theorie Kryptosysteme, die https://en.wikipedia.org/wiki/Homomorphic_encryption nutzen. Ich glaube nicht, dass es das schon (praktisch nutzbar) gibt.

Eine andere Alternative ist, diese Funktionalitaet in Hardware (bspw. ein TPM) oder ein Remote-System einzuwickeln, an welches du dieses Vertrauen (das Secret zur authn zu verwenden, es aber nicht irgendwie anders auszuwerten oder weiterzugeben) delegierst. Ist aus meiner Sicht meistens Schlangenoel, aber mindestens seit alle moeglichen technisch wohl weitestgehend ahnungbefreiten Compliance-Leute damit happy sind, dass der Public-Cloud-Provider der Wahl eine Checkbox mit "encrypt this datastore" anbietet, und damit ist dann alles leiwand, ist das industrieweit stark verbreitet.

Im Prinzip suchst du ein HSM bzw. KMS system.
TPM ist denke ich hier etwas umständlich weil du schreibst dass mehrere PCs zugreifen sollen. (Klar kann man das auch mit TPM bauen ist mir aber ehrlich gesagt nicht untergekommen bisher).

Alternativ den symmetrischen Schlüssel beim applikationsstart manuell eingeben.

Zitat aus einem Post von Smut

Im Prinzip suchst du ein HSM bzw. KMS system.
TPM ist denke ich hier etwas umständlich weil du schreibst dass mehrere PCs zugreifen sollen. (Klar kann man das auch mit TPM bauen ist mir aber ehrlich gesagt nicht untergekommen bisher).

Alternativ den symmetrischen Schlüssel beim applikationsstart manuell eingeben.

HSM ist ja TPM im Endeffekt oder? TPM stelle ich mir für den Anwendungszweck (Programm, automatisiert) auch kompliziert vor.
Vermute um es wirklich secure zu machen bräuchte man ein KMS System.

Im Endeffekt ist sämtliche Software die z.B. eingegebene Passwörter speichert (z.B. in Registry) genauso betroffen.

Wenn man weiß wer (Binary) das Passwort dort AES oder wie auch immer verschlüsselt und das nicht via KMS oder HSM passiert > insecure.
Solange es auf einer einzelnen Maschine bleibt ist TPM vermutlich die einfachste Lösung (das TPM wie Colo andeutet vermutlich seine eigenen Vulnerabilitäten hat und damit das Security-Konzept aushebeln kann/wird sei mal dahin gestellt).