Éric, existe muita confusão na área de cryptografia e segurança.
Acho que até a sugestões foram boas, mas acredito que podem existir falhas graves aí.
Pegar o MAC não me parece uma boa solução.
A resposta para as perguntas de segurança (e não criptografia) sempre começam assim?
Quão desejável é minha aplicação e meus dados? Valeria a pena roubar meu código e meu banco de dados? Se sim, o quanto tempo e recursos valeria a pena "investir nisso"? Exemplo.: Você guarda senhas sem encriptação, dados de cartão ou informações confidenciais de usuários? Se sim, você deve ficar bem preocupado.
Baseados na resposta acima, que tipo de pessoas iriam tentar roubar minhas informações?
Elas estariam interessadas em meus algoritmos ou em meu banco de dados?
Se a sua resposta é que os dados são desejáveis o suficientes para criminosos de alto escalão, pode ter certeza que encriptação do MAC não é a solução. Muitos dos servidores disponíveis usam máquinas virtuais, o que seria realmente muito fácil clonar MACs físicos.
A verdade é que a pergunta que você fez é a mesma pergunta feita por empresas de segurança do mundo inteiro, e mesmo assim elas continuam a cair sob ataque. Falo isso porque a questão é realmente séria. Não é difícil você pegar um código .NET e "descompilar". Há ofuscadores de código. Eles conseguem disfarçar muito bem a lógica da sua aplicação, mas não a segurança (encriptação) que você usa. Eles não tem poder de mudar suas senhas... somente tentar escondê-las em algum lugar melhor.
A resposta de forma simples, você não está segura em nenhuma maneira hospedando seu site em um provedor de informações que não seja seu próprio. Por maior que seja a segurança no servidor, em geral a chave é tentar usar sua senha de acesso. Ter o seu próprio exige profissionais qualificados no assuntos, mas acaba sendo bem mais fácil.
Voltando as perguntas acima, se o que há de mais valioso é seu código, invista nele. Use formas de ofuscar (.Net Obfuscator?). Para ter um controle um pouco mais simples, você poderia um site com IP fixo e que não seja compartilhado com outras aplicações no mesmo servidor (estranho, mas não seria impossível alguém conseguir hospedar um outro site no mesmo servidor e conseguir a resposta do IP). Daí toda vez que seu sistema iniciar, você poderia verificar qual é o seu IP atual perguntando a servidores externos e internos por seu IP. Seu servidor externo conseguiria verificar com confiabilidade se o IP da chamada é o dos servidores a seu alcance.
Aí entra finalmente a criptografia. Você poderia mandar uma resposta criptografada autorizando a execução da sua aplicação. Lembre-se de mudar constantemente com o tempo a chave de sua criptografia (a cada 1 mês mais ou menos), fazendo deploys em seus clientes, atualizando tanto o seu servidor externo quanto o das aplicações. Mesmo que alguém conseguisse tomar posse de todo arsenal para "copiar" seu código, não seriam hábeis o suficiente de descriptografar as sequências a tempo de um novo deploy.
Se as informações importantes estiverem no banco de dados, a conversa precisa ser totalmente outra.