almacenando las credenciales de terceros en la base de datos / en algún lugar seguro

Bueno, el desafío es que las credenciales en cuestión deben almacenarse de una manera que permita que se lean como texto sin formato. Esto significa que parte de la sabiduría convencional sobre el almacenamiento de contraseñas ( use bcrypt ) no es aplicable.

Su objetivo, entonces, es mitigar el riesgo y compartimentar los datos. Si es posible, desea tener un proceso diferente que se autentique en el sitio externo y que su aplicación web devuelva un identificador de archivo al socket autenticado activo. Eso significa que su sitio web comprometido no perderá las credenciales reales en uso, ya que la aplicación web no tendrá permisos para leer esa parte de la base de datos.

Cifrar los valores de la base de datos es una opinión común, pero puede tener una utilidad limitada dependiendo de cómo diseñe su aplicación de autenticación si se ejecuta en el mismo servidor que la base de datos. Si tiene el tiempo y los recursos, diseñe de tal manera que el cifrado y el descifrado ocurran en la aplicación de autenticación y la base de datos almacene los valores cifrados. La colocación de cada uno de esos roles en diferentes máquinas y el aislamiento de la base de datos y el sistema de autenticación externo proporcionan la mayor segmentación.

La mejor práctica para sus requisitos es el uso de OAUTH . Por lo tanto, si la Tercera parte (para ser autenticado) proporciona soporte OAUTH ... entonces esa es la mejor forma preferida, ya que en ese caso no tendría que almacenar el acuerdo con las credenciales sino asegurar la clave OAUTH proporcionada al usuario por Tercero, que es mucho menos responsabilidad.

Aunque para ambas, Clave o Credenciales, puede cifrar los datos confidenciales con la contraseña del Usuario en su portal y también usar Salt con él.

No estoy familiarizado con Perl. Pero el cifrado SHA es el que viene a la mente después de leer su pregunta para el cifrado / descifrado de 2 vías. Entonces, lo único que necesitas asegurar será el key en lugar de todas las contraseñas.