Как хранить токены пользователя?
Шифровать не получится. Plain text.
Надо понимать что основная причина шифрования паролей пользователей в базах - не потенциальный риск "хохо у нас сольют базу, но пароли не подберут" - а просто кармическая ответственность т.к у подавляющего большинства людей пароли в разных сервисах и почте совпадают.upd смежный вопрос:
Какой из способов безопасного хранения критически важных переменных оптимален?
Вы не должны их хранить.
Пользователь даёт доступ вашему приложению с таким то id доступ к таким то своим данным. Всё, пока пользователь не отзовёт права у вашего приложения, он может использую  access key приложения получать доступ к тому, что он вам разрешил. 
Выше речь про приложения vk и fb, в standalone-приложениях немного иначе но суть также.