С этого места перестал тебя понимать-)

А почему не катит вариант:
Клиент первый раз запускает ПО.
ПО просит логин и пароль.
ЛОгин и пароль отсылаются на сайт и там проверяются на валид и
если логин и пароль верный,то записать их в реестр и использовать при следующих запусках программы.

Так ты не узнаешь что ввёл клиент.