xmoonlight

Странно как! Все прочитали вопрос и никто даже не заметил!

встала задача загрузки на сайт документов для верификации пользователей

Крайне косячная задача у вас встала! )))
Вы перепутали: "на сайт" и "через веб-страницу" )))

Ну а далее, сайт здесь вообще ни при чём!
После приёма и валидации "тела" файла (что файл с расширением pdf - это не скрипт, и т.д.), серверным скриптом из памяти сразу ПЕРЕДАЛИ через внутренний вызов внутреннего сервиса скрипта-обработчика, который производит над документом нужные действия, шифрует и кладёт его в хранилище (папку,БД, и т.д.), которое вообще никак недоступно извне.

Много нюансов в вашем вопросе:
1. Смысл в open-source?
2. ПК, на котором будете шифровать, подключен к сети/интернету?
3. Операционка - доверенная и с открытым кодом?

Кратко:
1. Чтобы "спрятать" информацию, нужно предотвратить любую "утечку" данных до окончания процесса шифрования.
2. Чтобы не расшифровали через подбор "ключа", - избавиться от сигнатуры (например, перед шифрованием, превратить текст в набор хаотично расположенных символов и добавить "мусор").

В Windows-е один юзер.

это Ваша ГЛАВНАЯ и ЕДИНСТВЕННАЯ ОШИБКА.
Сделайте каждому своего юзера и конец проблеме.

Вариант 2: разные папки профилей в хроме: здесь.
Ну тогда придётся доступы к папкам регулировать сторонними утилитами.

Хорошие и передовые сервисы имеют множество средств защиты учётной записи.

Такими средствами - лучше НЕ пренебрегать и не отказываться от их использования!

1. Проверяйте, что пароль уходит ТОЛЬКО в зашифрованном виде или через SSL!
2. Пароль (любой и можно не менять) + E-MAIL + SMS + Google Authenticator + выставить фильтр по IP-адресу/подсети + OAuth/SSH-токены ещё бывают и т.д.

А вообще - вопрос хороший: надо черкануть статью: "Учётка в сейфе"))

UPD:
Создадим функцию (формулу):
Функция: логин, hash: sha1(домен+"соль"), текущая дата создания/смены пароля, алфавит всех возможных символов в пароле, требования для формирования пароля и своя "соль".
На вход: только домен.
Затем вычисляем hash и по hash'у - находим логин и после: вычисляем пароль.
На выходе: получаем логин и готовый пароль

Т.е., не зная домена и формулы - не узнать точного логина и пароля.
А пароль - нигде не хранится.

На текущий момент единственное решение:
Проприетарный (закрытый) клиент с "зашитым" токеном внутрь с запросом контента с сайта. После того, как однократно прошла демонстрация - ставим на сервере флаг: "просмотрено" и при последующих запусках больше не возвращаем контент.

Не советую держать систему для работы с почтой на этом ПК.
Лучше всего использовать "облачный" удалённый доступ - гораздо безопаснее.

Преинсталлер для скачивания с отправкой информации о системе на сервер и последующей периодической проверкой и обновлением ключа. (ключ = файл лицензии для триал)

Перед отдачей файла - компилируйте со "стартовым" ключом, устанавливая триал.
Период запуска приложения без подключения к интернету - ограничить 10 днями.
Каждый запуск при наличии интернета - обновляем ключ.

1. Используйте удалённое терминальное подключение
2. Запрет запуска, настройка прав: FolderGuard
3. HDD encryption: wiki-таблица

OTR

Был бы вопрос)))
REST API - строго у Вас на серверах.
Тонкий клиент (html(5)/js/png/mp3/svg/etc.) - где угодно...

Для защиты АВТОРИЗАЦИИ: сертификаты и ключи.
Для защиты ДАННЫХ: используются алгоритмы шифрования канала передачи данных.
Для защиты REST API: защита авторизации + защита канала передачи данных.

И важно помнить!!!: всё что находится за пределами REST API - уже Вами не контролируется (как бы Вы не пытались криптовать или обфуцировать код/ключи и прочее).

Ваш кэп!)

noVNC может лучше использовать?
Как бонус — рулилка с любого мобильного браузера с поддержкой HTML5 и websockets. (почти все мобилы уже)

Если настолько важная база — сделайте свой формат базы.
Например, куб-контейнер: таблица, колонка, данные. (если база небольшая)
или листы-контейнеры: колонка, данные и файл индексов базы (если база большая)

Затем зашифруйте контейнер (или все файл бд) и грузите его(их) из файла при открытии приложения (по мере необходимости).
Считайте весь контейнер в память и дешифруйте в массив значений.
Если были изменения базы — зашифруйте контейнер в памяти, перезапишите файл на носителе.

Написать один раз подобный класс — не сложно.
За потраченное время — Вы дольше сохраните недоступность базы для распространения.