Alguém já trabalhou com essa classe, ela costuma ser usada em grandes projetos?
Não, não conheço uma boa porção de grandes projetos para afirmar. Não sei se isso tem relevância. Ou o recurso é útil ou não, se ele é usado em projetos grandes ou pequenos não vem ao caso.
O próprio .NET usa bastante. Todos esses lugares consideram que um texto em condições seguras é importante em seu contexto.
Quando seria realmente necessário usar essa classe e do que ela protege?
Basicamente ela garante que será usada em um contexto bem restrito e será apagada tão logo quando possível, além de não permitir que ela saia do âmbito da memória da aplicação. Obviamente ela é criptografada.
Mas ela não é completamente segura, afinal ela precisa ser manipulada e nesses momentos fica descoberto. Ela dificulta tentativas ingênuas de acesso indevido. Ajuda bastante o próprio programador não divulgar o dado em algum lugar por seu próprio deslize.
Muita gente não sabe que ao final da aplicação os dados ficam lá na memória, eles não são apagados e podem ser visualizados por terceiros com o conhecimento adequado. Mesmo durante sua execução é possível acessar todos os dados mesmo de fora dela. É muito fácil pegar tudo o que está na memória. Em uma máquina comprometida, seja por um hacker, seja por uma pessoa com acesso privilegiado que seja mal-intencionada.
Se a intenção é proteção total, esquece. Em geral usa-se apenas para dados que realmente precisam ser protegidos na memória, como senhas, número de cartão de crédito e coisas assim. Se todo o resto da cadeia tiver falhas, não adianta muita coisa.
É mais recomendado seu uso para que tipo de projeto: ASP.NET, WPF, Windows Forms?
Não importa, use quando precisa dessa segurança. O WPF possui um controle PasswordBox
que usa o SecureString
internamente, então elimina um ponto de insegurança onde o dado pode ser capturado.
Parece que no Mono ela não é tão bem implementada, mas isso pode mudar logo com o projeto pegando partes do .NET Core.
Tem uma pergunta que trata disso aqui.
Artigo da Microsoft sobre o assunto. E a continuação.
Não é mais recomendado o seu uso.
Coloquei no GitHub para referência futura.