Шифровать пароль в файлах конфигурации?

Ответ 1

Простой способ сделать это - использовать шифрование на основе пароля на Java. Это позволяет шифровать и расшифровывать текст с помощью пароля.

Это в основном означает инициализацию javax.crypto.Cipher с алгоритмом "AES/CBC/PKCS5Padding" и получение ключа от javax.crypto.SecretKeyFactory с "PBKDF2WithHmacSHA512" алгоритма "PBKDF2WithHmacSHA512".

Вот пример кода (обновленный для замены менее безопасного варианта на основе MD5):

import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.security.AlgorithmParameters;
import java.security.GeneralSecurityException;
import java.security.NoSuchAlgorithmException;
import java.security.spec.InvalidKeySpecException;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.PBEKeySpec;
import javax.crypto.spec.SecretKeySpec;

public class ProtectedConfigFile {

    public static void main(String[] args) throws Exception {
        String password = System.getProperty("password");
        if (password == null) {
            throw new IllegalArgumentException("Run with -Dpassword=<password>");
        }

        // The salt (probably) can be stored along with the encrypted data
        byte[] salt = new String("12345678").getBytes();

        // Decreasing this speeds down startup time and can be useful during testing, but it also makes it easier for brute force attackers
        int iterationCount = 40000;
        // Other values give me java.security.InvalidKeyException: Illegal key size or default parameters
        int keyLength = 128;
        SecretKeySpec key = createSecretKey(password.toCharArray(),
                salt, iterationCount, keyLength);

        String originalPassword = "secret";
        System.out.println("Original password: " + originalPassword);
        String encryptedPassword = encrypt(originalPassword, key);
        System.out.println("Encrypted password: " + encryptedPassword);
        String decryptedPassword = decrypt(encryptedPassword, key);
        System.out.println("Decrypted password: " + decryptedPassword);
    }

    private static SecretKeySpec createSecretKey(char[] password, byte[] salt, int iterationCount, int keyLength) throws NoSuchAlgorithmException, InvalidKeySpecException {
        SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");
        PBEKeySpec keySpec = new PBEKeySpec(password, salt, iterationCount, keyLength);
        SecretKey keyTmp = keyFactory.generateSecret(keySpec);
        return new SecretKeySpec(keyTmp.getEncoded(), "AES");
    }

    private static String encrypt(String property, SecretKeySpec key) throws GeneralSecurityException, UnsupportedEncodingException {
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.ENCRYPT_MODE, key);
        AlgorithmParameters parameters = pbeCipher.getParameters();
        IvParameterSpec ivParameterSpec = parameters.getParameterSpec(IvParameterSpec.class);
        byte[] cryptoText = pbeCipher.doFinal(property.getBytes("UTF-8"));
        byte[] iv = ivParameterSpec.getIV();
        return base64Encode(iv) + ":" + base64Encode(cryptoText);
    }

    private static String base64Encode(byte[] bytes) {
        return Base64.getEncoder().encodeToString(bytes);
    }

    private static String decrypt(String string, SecretKeySpec key) throws GeneralSecurityException, IOException {
        String iv = string.split(":")[0];
        String property = string.split(":")[1];
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.DECRYPT_MODE, key, new IvParameterSpec(base64Decode(iv)));
        return new String(pbeCipher.doFinal(base64Decode(property)), "UTF-8");
    }

    private static byte[] base64Decode(String property) throws IOException {
        return Base64.getDecoder().decode(property);
    }
}

Остается одна проблема: где вы должны хранить пароль, который вы используете для шифрования паролей? Вы можете сохранить его в исходном файле и обфускать его, но не слишком сложно найти его снова. В качестве альтернативы вы можете -DpropertyProtectionPassword=... его как системное свойство при запуске Java-процесса (-DpropertyProtectionPassword=...).

Эта же проблема сохраняется, если вы используете KeyStore, который также защищен паролем. В принципе, вам нужно иметь один главный пароль где-то, и его довольно сложно защитить.

Ответ 2

Да, определенно не пишите свой собственный алгоритм. Java имеет множество криптографических API.

Если установленная ОС имеет хранилище ключей, вы можете использовать это для хранения криптографических ключей, которые вам необходимы для шифрования и дешифрования конфиденциальных данных в вашей конфигурации или других файлах.

Ответ 3

Отъезд jasypt, который представляет собой библиотеку, предлагающую основные возможности шифрования с минимальными усилиями.

Ответ 4

Я думаю, что лучший подход - обеспечить, чтобы ваш файл конфигурации (содержащий ваш пароль) был доступен только для определенной учетной записи пользователя. Например, у вас может быть пользователь, специфичный для приложения appuser, к которому только доверенные люди имеют пароль (и которому они su).

Таким образом, накладные расходы на криптографию отсутствуют, и у вас все еще есть безопасный пароль.

РЕДАКТИРОВАТЬ: Я предполагаю, что вы не экспортируете конфигурацию своего приложения за пределы доверенной среды (что я не уверен, что это будет иметь смысл, учитывая вопрос)

Ответ 5

Ну, чтобы решить проблемы с основным паролем - лучший подход - не хранить пароль нигде, приложение должно шифровать пароли для себя - так, что только он может их расшифровать. Поэтому, если бы я использовал файл .config, я бы сделал следующее: mySettings.config:

encryptTheseKeys = SecretKey, anotherSecret

SecretKey = unprotectedPasswordThatIputHere

anotherSecret = anotherPass

someKey = unprotectedSettingIdontCareAbout

поэтому я бы прочитал в ключах, упомянутых в encryptTheseKeys, примените пример Brodwalls сверху на них и запишите их обратно в файл с каким-либо маркером (скажем, crypt:), чтобы приложение не успевало сделать это снова, результат будет выглядеть следующим образом:

encryptTheseKeys = SecretKey, anotherSecret

SecretKey = крипты: ii4jfj304fjhfj934fouh938

anotherSecret = крипты: jd48jofh48h

someKey = unprotectedSettingIdontCareAbout

Просто убедитесь, что вы сохранили оригиналы в своем безопасном месте...

Ответ 6

Большая точка, и слон в комнате, и все такое, заключается в том, что если ваше приложение может получить пароль, тогда хакер, имеющий доступ к коробке, сможет его удержать!

Единственным способом, связанным с этим, является то, что приложение запрашивает "главный пароль" на консоли с помощью стандартного ввода, а затем использует его для дешифрования паролей, хранящихся в файле. Конечно, это полностью исключает возможность запуска приложения без присмотра вместе с ОС при загрузке.

Однако даже при таком уровне раздражения, если хакеру удается получить root-доступ (или даже просто доступ как пользователь, выполняющий ваше приложение), он может сбросить память и найти там пароль.

То, что нужно гарантировать, - это не позволить всей компании иметь доступ к серверу производства (и тем самым к паролям) и убедиться, что эту коробку невозможно взломать!

Ответ 7

Посмотрите, что доступно в Jetty для хранения паролей (или хэшей) в файлах конфигурации, и подумайте, может ли быть полезно кодирование OBF для вас. Затем посмотрите в источнике, как это делается.

http://www.eclipse.org/jetty/documentation/current/configuring-security-secure-passwords.html

Ответ 8

Я создал простой PropertyEncryptor в Java. Он может шифровать ваши файлы свойств во время сборки. Затем вы можете расшифровать его с помощью EncryptionHelper в своих программах. Исходные коды можно найти в этом месте http://devpinoy.org/blogs/jakelite/archive/2009/07/14/encrypting-passwords-in-java-property-files.aspx

Ответ 9

Попробуйте использовать методы шифрования ESAPI. Его легко настроить, и вы также можете легко изменить свои ключи.

http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Encryptor.html

Вы

1) шифруют 2) дешифровать 3) знак 4) unsign 5) хэширования 6) подписи, основанные на времени, и многое другое только с одной библиотекой.

Ответ 10

В зависимости от того, насколько безопасны вам файлы конфигурации или насколько надежны ваше приложение, http://activemq.apache.org/encrypted-passwords.html может быть хорошим решением для вас.

Если вы не слишком боитесь, что пароль расшифровывается, и его можно очень просто настроить с помощью bean для хранения ключа пароля. Однако, если вам нужна дополнительная безопасность, вы можете установить переменную окружения в секретный раздел и удалить ее после запуска. При этом вам нужно беспокоиться о том, что приложение/сервер идет вниз, а не приложение, которое автоматически не перезапускается.

Ответ 11

На основе комментариев здесь я написал учебник о том, как шифровать/шифровать и распаковывать пароли в конфигурационных файлах .properties, используя Talend Data Integration.

Это на французском языке, но два способа предлагаются с использованием Jasypt или вышеприведенного примера Йоханнеса. Код может вас заинтересовать.

Ответ 12

Если вы используете java 8, использование внутреннего кодера и декодера Base64 можно избежать, заменив

return new BASE64Encoder().encode(bytes);

с

return Base64.getEncoder().encodeToString(bytes);

и

return new BASE64Decoder().decodeBuffer(property);

с

return Base64.getDecoder().decode(property);

Обратите внимание, что это решение не защищает ваши данные, поскольку методы дешифрования хранятся в одном месте. Это просто усложняет разрыв. В основном это позволяет избежать печати и показать его всем по ошибке.