Как мне сохранить пароль Java KeyStore?

Question

В моем веб-приложении я получаю доступ к закрытому ключу, который хранится в хранилище ключей Java.Я хотел бы знать, каков наилучший / рекомендуемый способ хранения пароля для хранилища ключей и закрытого ключа.

Я рассмотрел вопрос об использовании файла свойств, но он кажется не очень безопасным для использования в производственной среде.(сохранение пароля в текстовом файле).Кроме того, жесткое кодирование пароля в моем коде не вариант, который я готов принять.

Спасибо.

Answer 1

Это сложная проблема с начальной загрузкой.Некоторые параметры:

• Пусть ваше приложение предложит пользователю разблокировать хранилище ключей (не очень дружелюбно, но возможно)

• Сохранить пароль у владельца только для чтенияфайл (0400) и используйте его для разблокировки хранилища ключей.Злоумышленник должен взломать ваш сервер, чтобы прочитать файл.Похоже, это наиболее широко используемый метод
• Использование HSM
• Использование чего-то вроде Hashicorp Vault (но у него также есть проблема с загрузкой).

Answer 2

Вы можете использовать файл свойств, поскольку вы упоминаете просто хэширование пароля для дополнительной безопасности.Это обходит проблему необходимости сохранять пароль в виде простого текста.Затем вы можете использовать пароль MD5 или SHA1 для хеширования, по собственному выбору.