如何解决密码管理 - 配置密码

Question

嗨,我正在使用HP fortify查找我的应用程序的所有漏洞,现在我正在尝试解决一个看起来很基本的但我无法做到的.

问题是关于配置中的密码.我有一个Web应用程序,并在其中的属性文件中.

somePassword=passwordPlainText

我同意这是错误的,然后我尝试使用http://www.jasypt.org/encrypting-configuration.html,OBS,CRYPT和ENC类型对几种方法进行混淆.但是当我扫描我的代码时,我总是从强化中得到相同的警告.难道我做错了什么？

谢谢

Answer 1

您可能会发现以下答案很有帮助。我假设这可能是数据库密码，但相同的概念适用于访问其他类型的帐户。

https://security.stackexchange.com/questions/22817/how-to-encrypt-database-connection-credentials-on-a-web-server

基本原则是，您希望避免意外泄露凭据，因此将它们放在代码之外的位置（所有开发人员都会看到它）以及主代码根之外的配置文件中，并进行仔细的访问控制。理想情况下，您可以通过根据用户权限正确配置数据库访问来完全避免使用密码。

注意：Fortify 基本上通过grep查找“密码”（以及一些变体）来发现密码问题。因此，其他时候，如果您只有一个名为“密码”的变量或提及“密码”的注释，但没有将密码硬编码到文件中，则这是误报。