xmoonlight

Инкапсуляция данных в crypt-пакеты.
Где Вы их будете расшифровывать потом и как именно - дело ваше.
Обмен данными между пользователями - можно сделать через ассиметричное шифрование (PGP): т.е. ключами пользователи обмениваются сами ВНЕ приложения.
Тогда без ключей - будет только crypt-контейнер и всё.

ssh: ssh-туннель + port-knocking - это стандарт удалённого администрирования.

Если сервис-аггрегатор - используйте OAUTH-токены вместо паролей,
иначе - вообще не вижу смысла передачи/хранения паролей в расшифрованном виде на бэке.

Fiddler2

MirrorFolder

Защита от "взлома" почтового аккаунта:
1. Разрешите вход только с подсетей Вашего провайдера, где Вы снимаете почту.
2. "Сильный" пароль
3. Используйте двухфакторную аутентификацию
4. Если сервер Ваш - можете использовать авторизацию по сертификату.

Шифрование переписки:
1. Свой почтовый сервер с поддержкой SSL/TLS
2. Web-"морда" с почтовым интерфейсом и SSL/TLS шифрованием трафика.
Сервис проверки: www.checktls.com

www.sandboxie.com
Полностью эмулирует файловую систему и реестр без риска для основной рабочей системы (не затрагивая файлы и реестр последней).
Приложение не "видит", что оно в песочнице, поэтому ведёт себя так, как обычно.
Можно что-то установить, поюзать и просто нажать "очистить" без всяких uninstall)
Богатые настройки каждой песочницы в отдельности.
Лучший вариант для спокойной работы.

Ставьте и настраивайте, чтобы был:
1. и/или запуск в "песочнице" для конкретных папок/процессов и т.д.,
2. и/или нормальный запуск только из выбранных папок и т.д.

VeraCrypt: https://veracrypt.codeplex.com/
в тандеме с запуском notepad++ (или обычного блокнота) от пользователя с ограниченными правами на доступ к файловой системе - это самое лучшее решение на сегодня.

PS: Очень рекомендую ознакомиться с документацией в PDF на сайте!

Сделайте ядро и запакуйте ioncube-ом. (на сайте можно заплатить за одну обфускацию)

В настройках bitLocker переключите, чтобы использовать без TPM-модуля.
www.osp.ru/win2000/2011/03/13009257

Обеспечивать аудио-голосовой крипто-канал должна сама гарнитура (или звуковуха отдельного компа: АЦП <-> ЦАП). Желательно, с 2-х/3-х факторной полуавтоматической аутентификацией.
Смартфон - ну, чтобы поиграть можно было. (тут без разницы - защиты 0)

Изначально стороны должны обменяться формулой-ключом заранее.
1. Проще всего генерировать ключ "бесконечного" блокнота на основе даты отправленного сообщения по формуле.
2. Формула должна генерировать КАЖДЫЙ РАЗ! уникальную последовательность "ключа" на одно и то же сообщение (через случайную последовательность части информации в формуле).
3. "Ключ" также может использоваться частично, позволяя методом "подбора" из нескольких возможных комбинаций, восстановить его истинное значение на другом конце. (частичное кодирование с неполным "ключом")

PS: По-умолчанию, для формул, можно использовать даты подтверждения авторизации (чтобы не "перегружать" мозг пользователей).

Ежемесячное обновление ключа через интернет посредством обмена предыдущего на новый.

Пишется демон (db-wrapper) на сокет, который получает ключ из файла (или другого хоста) для дешифрования результата БД внутри этого процесса-демона. Соль ключа - хранится внутри этого процесса с привязкой к домену или MAC-интерфейса.
Демон запускается от имени другого пользователя с урезанными правами, нежели чем web-сервер и PHP.

Можно дешифровать данные непосредственно на клиенте через JS.
Но, это уже совсем другая история....

OTR

"Добраться до базы" - может смотреть в эту сторону?
Враппер: APP[host1]->wrapper[host2]->DB[host3]?