如何存储Java KeyStore密码？

Question

在我的Web应用程序中,我访问存储在Java KeyStore中的私钥.我想知道存储KeyStore和私钥密码的最佳/推荐方法是什么.

我考虑过使用属性文件,但在生产环境中使用它似乎不太安全(在纯文本文件中存储密码).此外,在我的代码中硬编码密码不是我愿意接受的选项.

谢谢.

Answer 1

这是一个棘手的引导问题.一些选择:

• 让你的应用提示用户解锁密钥库(不是很友好,但可能)

• 将密码存储在所有者只读文件(0400)中,并使用该密码解锁密钥库.攻击者必须闯入您的服务器才能读取该文件.这似乎是最广泛使用的技术
• 使用HSM
• 使用像Hashicorp Vault这样的东西(但它也有引导问题).

Answer 2

您可以使用属性文件，正如您提到的那样，只需对密码进行哈希处理以获得额外的安全性，盐对密码进行哈希处理。这解决了必须以纯文本形式保存密码的问题。然后，您可以使用 MD5 或 SHA1 密码对其进行哈希处理，具体取决于个人选择。