Михаил

Никак, если не завязываться на устройство пользователя/IP
Можно для доступа к критически важным данным/функциям просить повторно вводить пароль (как делают некоторые интернет-банки, например)

Правильно, главное все внешние данные передавать через биндинги.
Был ещё похожий вопрос ранее Защищает ли PDO от SQL-инъекции?

Использовать менеджеры паролей конечно же, больше никак.

В чём заключается ваша паранойя? Почему то не верится, что может быть сложно/не удобно в сравнении с хранением в голове.

KeePass
- Опенсурсный, бесплатный
- Отличное шифрование
- Куча плагинов (бекап, синхронизация, интеграция)
- Есть под все OS
- Autotype (в том числе с обфускацией автонабора)

P.S. У некоторых моб. приложений есть возможность установить доп. клавиатуру, которой удобно вводить пароли не копируя в буфер.

Лучший вариант, менеджеры паролей с открытыми исходниками
Windows: KeePass Password Safe (+ все мобильные платформы)
Unix, OS X: KeePassX (+ все мобильные платформы)
Теория
Практика
Дополнительные возможности
Тонкая настройка для повышенной безопасности

Использование криптоконтейнеров, генераций паролей по своему алгоритму для каждого сайта не надёжно и не удобно.

Хром использует DPAPI шифрование на уровне учётной записи windows (для винды). Использование этих файлов на любом другом ПК или этом же, но с другой учёткой не даст увидеть пароли.
Но если у злоумышленника будет доступ к вашему ПК на неопределённое время, то он сможет сбросить пароль на вашей учётке windows и зайти в браузер, собственно, получить доступ к паролям, кончено, если вы не используете мастер ключ.

На данный момент ничего лучше и удобнее чем EncFs, к сожалению, не придумали
Есть проблемы с безопасностью, но они не существенны, и никто не будет пытаться расшифровать ваши файлы, если они не дороже стоимости их расшифровки, а она высока.

Есть клиент для windows EncFs4Win. И есть так же более удобное решение https://sourceforge.net/projects/encfsmp/
encfsmp на данный момент активно разрабатывается