¿Una forma segura de almacenar detalles confidenciales de la API de los usuarios (local, almacenamiento o base de datos?

¿Qué hay de almacenar los tokens de la API de una manera que ni siquiera usted pueda usarlos?

Cifre los tokens API con una clave derivada de la contraseña del usuario. Para evitar tener que enviar la contraseña al servidor en texto sin formato, puede usar un hash de la misma como clave, asegurándose de utilizar un salt diferente en el lado del cliente para el proceso normal de almacenamiento de la contraseña del servidor. Al iniciar sesión, los tokens se pueden extraer de la base de datos y descifrar. Si el usuario olvida su contraseña, los detalles de la API no se pueden recuperar de sus copias, pero eso está bien porque pueden obtenerlos y volver a ingresar desde los intercambios nuevamente.

Si adopta este enfoque, debe tomar medidas para asegurarse de que los tokens no estén paginados en su servidor. No tiene mucho sentido dedicar tanto esfuerzo para luego escribirlos en el disco de todos modos. También debe asegurarse de que se hayan vaciado de la memoria al cerrar sesión.

Otra alternativa sería obtener y usar las claves / tokens de API en la máquina del cliente, de esta manera nunca tendrá acceso a ellos en texto plano. Esto supone que las API de Exchange tienen políticas CORS que permiten que su aplicación las llame desde la máquina del cliente. Un ejemplo de derivación / uso clave utilizando la API de WebCrypto (más código completo aquí - enlace

var _algorithm = "AES-CBC";
var _key_size = 256;
var _pbkdf_iterations = 100;

// Do not change this once used in production
// If copying from StackExchange replace with a new random value for your app 
// or pass in a user specific value from the DB
var _defaultSalt = "af95a2b25229d227269a54fdec562d93";

// Derives a key from the given password.
// Salt is not required. If supplied should be a hex string.
function deriveKey(passphrase, salt)
{   
    if (typeof(salt) === 'undefined')
    {
        salt = _defaultSalt;
    }

    return passphrase == null || passphrase.length < 10 ?
        Promise.reject("Password must be at least 10 characters") :
        crypto.subtle.importKey(
            'raw',
            stringToUtf8ByteArray(passphrase),
            { name: 'PBKDF2'},
            false,
            ['deriveBits', 'deriveKey' ]
        ).then(function(passwordKey) {
            return crypto.subtle.deriveKey(
                {
                    "name": 'PBKDF2',
                    "salt": hexStringToByteArray(salt),
                    "iterations": _pbkdf_iterations,
                    "hash": 'SHA-256'
                },
                passwordKey,
                { "name": _algorithm, "length": _key_size },
                false, // Extractable is set to false so that underlying key details cannot be accessed.
                [ "encrypt", "decrypt" ]
            );
        });
}

function encryptData(keyObject, data)
{
    let iv = crypto.getRandomValues(new Uint8Array(16));

    return crypto.subtle.encrypt(
        {name: _algorithm, iv: iv},
        keyObject,
        data
    ).then(function(encryptedData) {
        return {
            iv:iv,
            data:encryptedData
        }
    });
}

function decryptData(keyObject, iv, encryptedData)
{   
    return crypto.subtle.decrypt(
        {name: _algorithm, iv: iv},
        keyObject,
        encryptedData
    );
}