Последствия для безопасности хранения хранилища ключей в публичном репо - PullRequest
Новая
       17

Последствия для безопасности хранения хранилища ключей в публичном репо

2 голосов
/ 19 октября 2010

Каковы последствия безопасности хранения хранилища ключей в общедоступном репо вместе с исходным кодом?

Причиной хранения этого репо является удобство.Нет никаких зависимостей, когда вы выполняете 'git pull или clone' и собираете на своем локальном компьютере (например, с помощью sbt sign-release): вы просто предоставляете пароль при запросе и создается подписанное приложение.

Скажем, я защищаю его паролем из 20 символов (буквы, цифры, специальные символы и т. Д.), Полученным из программы, генерирующей пароли.Я думаю, что злоумышленнику было бы невозможно вычислить атаку и получить доступ к закрытому ключу в хранилище ключей.Мне бы хотелось узнать мнение экспертов по безопасности / криптографии о том, безопасно ли хранить хранилище ключей в публичном репо.

Спасибо

Ответы [ 2 ]

0 голосов
/ 24 октября 2010

Я провел небольшое исследование.Я нашел информацию о алгоритме JKS в Как keytool защищает ключи? и Защита JKS (http://metastatic.org/source/JKS.html).

На основании этого я отвечаю на свой вопрос: у меня естьпришли к выводу, что с моим 20-символьным случайно сгенерированным паролем, используйте случайную соль длиной 20 байтов и цепочку SHA1 (пароль, соль), чтобы получить случайный поток длины, равный длине ключа 2048, который XORed с закрытым ключомчто в обозримом будущем вычислительно невозможно извлечь закрытый ключ.

0 голосов
/ 22 октября 2010

Скрыть брелок и код принадлежит принципам «Безопасность через неизвестность».Теоретически безопасность должна быть далека от этой концепции, но в таком сценарии ответ может быть таким, что раскрытие конфиденциальных данных в общедоступном хранилище может подвергнуть вас атакам, которые воздействуют на конкретную уязвимость цепочек ключей или реализацию защищенного алгоритма ии так далее.

Я имею в виду, что все алгоритмы, которые вы используете, на 100% безопасны, и Keyrings тоже, но версия keyrings может содержать определенную уязвимость, ошибку или плохую реализацию безопасного алгоритма.

Таким образом, раскрытие этих данных в общедоступном репозитории может открыть для вас хакера, который хочет доказать свое мастерство.

...