Eu ficaria muito surpreso se realmente armazenasse a senha (codificada ou não) no arquivo criptografado porque isso demonstraria uma falta fundamental de compreensão da criptografia, caso em que, seria É altamente recomendado que você passe o software se precisar que os arquivos criptografados sejam seguros. Não há motivos práticos para armazenar a senha.
Mesmo o preço baixo não é um motivo para usá-lo se ele realmente armazenar a senha, pois há abundância de outros programas que são muito mais seguros e até mesmo free (na verdade, até mesmo arquivadores padrão fornecem funcionalidade de criptografia segura (sem armazenar a senha).
Quanto ao Data Guardian, tenho más notícias. Fiz alguns testes e você e o espantado estão corretos. Parece que o campo hexIdentifier não está relacionado apenas à senha, mas não é nem mesmo um hash, é a senha real! (embora codificada, embora nem com um alfabeto grande).
Se você salvar o mesmo arquivo repetidamente com uma senha de tamanho crescente (por exemplo, um caractere, dois caracteres, três…), o campo será alterado, mas o tamanho permanecerá constante (64 bits), até oito caracteres, depois de nove a 16 caracteres, o campo muda para 128 bits e assim por diante. Em outras palavras, ele trava (blocos?) E codifica a senha em blocos de 8 caracteres. Se fosse um hash, o tamanho do campo permaneceria constante, não importando o tamanho da senha. Portanto, ele realmente codifica e armazena a própria senha.
Existe uma DLL na pasta do programa que indica que ela usa a cifra de bloco Blowfish (que usa blocos de 64 bits - lembre-se dos blocos de 64 bits acima), então a senha provavelmente é criptografada com isso, bem como os dados (embora separadamente dos dados em oposição a como parte do mesmo fluxo, o que o torna ainda mais vulnerável).
Eu já descobri vários aspectos do algoritmo em apenas alguns minutos de simplesmente executar testes no programa (ao mesmo tempo em que assisto à TV) sem abri-lo em um desmontador ou observando uma única linha de código. Não imagino que seria muito difícil para alguém com a devida motivação reverter completamente isso.
Em resumo, o Data Guardian não é confiável o suficiente se você precisar de criptografia (meio que anula a finalidade do nome). Se você não precisa da criptografia ou os dados não são confidenciais, então você pode conviver com ela (é um programa de manutenção de registros especializado em oposição a um programa genérico de criptografia). Caso contrário, se a segurança for necessária, seria melhor procurar outro programa de gerenciamento de registros com criptografia mais strong ou apenas usar um programa normal (ou até mesmo o Data Guardian) e criptografar os arquivos salvos com um programa genérico de criptografia (ou NTFS encryption ).
Você também pode entrar em contato com o desenvolvedor e perguntar se ele pode implementar criptografia mais strong (até mesmo a API de criptografia padrão da Microsoft [1] [2] [3] [4] seria bom; também O Crypto ++ é comum, já que o Boost não pôde adicionar um).