Question

我有一个程序从配置文件中读取服务器信息，并希望加密该配置中的密码，该密码可由我的程序读取并解密。

质量要求：

加密要存储在文件中的明文密码
解密从我的程序

关于我如何做到这一点的任何建议？我正在考虑编写自己的算法，但我觉得它会非常不安全。

Answer 1

这样做的一种简单方法是在Java中使用基于密码的加密。这允许您使用密码加密和解密文本。

这基本上意味着使用算法javax.crypto.Cipher初始化"AES/CBC/PKCS5Padding"并使用javax.crypto.SecretKeyFactory算法从"PBKDF2WithHmacSHA512"获取密钥。

这是一个代码示例（更新以替换不太安全的基于MD5的变体）：

import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.security.AlgorithmParameters;
import java.security.GeneralSecurityException;
import java.security.NoSuchAlgorithmException;
import java.security.spec.InvalidKeySpecException;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.PBEKeySpec;
import javax.crypto.spec.SecretKeySpec;

public class ProtectedConfigFile {

    public static void main(String[] args) throws Exception {
        String password = System.getProperty("password");
        if (password == null) {
            throw new IllegalArgumentException("Run with -Dpassword=<password>");
        }

        // The salt (probably) can be stored along with the encrypted data
        byte[] salt = new String("12345678").getBytes();

        // Decreasing this speeds down startup time and can be useful during testing, but it also makes it easier for brute force attackers
        int iterationCount = 40000;
        // Other values give me java.security.InvalidKeyException: Illegal key size or default parameters
        int keyLength = 128;
        SecretKeySpec key = createSecretKey(password.toCharArray(),
                salt, iterationCount, keyLength);

        String originalPassword = "secret";
        System.out.println("Original password: " + originalPassword);
        String encryptedPassword = encrypt(originalPassword, key);
        System.out.println("Encrypted password: " + encryptedPassword);
        String decryptedPassword = decrypt(encryptedPassword, key);
        System.out.println("Decrypted password: " + decryptedPassword);
    }

    private static SecretKeySpec createSecretKey(char[] password, byte[] salt, int iterationCount, int keyLength) throws NoSuchAlgorithmException, InvalidKeySpecException {
        SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");
        PBEKeySpec keySpec = new PBEKeySpec(password, salt, iterationCount, keyLength);
        SecretKey keyTmp = keyFactory.generateSecret(keySpec);
        return new SecretKeySpec(keyTmp.getEncoded(), "AES");
    }

    private static String encrypt(String property, SecretKeySpec key) throws GeneralSecurityException, UnsupportedEncodingException {
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.ENCRYPT_MODE, key);
        AlgorithmParameters parameters = pbeCipher.getParameters();
        IvParameterSpec ivParameterSpec = parameters.getParameterSpec(IvParameterSpec.class);
        byte[] cryptoText = pbeCipher.doFinal(property.getBytes("UTF-8"));
        byte[] iv = ivParameterSpec.getIV();
        return base64Encode(iv) + ":" + base64Encode(cryptoText);
    }

    private static String base64Encode(byte[] bytes) {
        return Base64.getEncoder().encodeToString(bytes);
    }

    private static String decrypt(String string, SecretKeySpec key) throws GeneralSecurityException, IOException {
        String iv = string.split(":")[0];
        String property = string.split(":")[1];
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.DECRYPT_MODE, key, new IvParameterSpec(base64Decode(iv)));
        return new String(pbeCipher.doFinal(base64Decode(property)), "UTF-8");
    }

    private static byte[] base64Decode(String property) throws IOException {
        return Base64.getDecoder().decode(property);
    }
}

仍然存在一个问题：您应该在哪里存储用于加密密码的密码？您可以将其存储在源文件中并对其进行模糊处理，但再次找到它并不困难。或者，您可以在启动Java进程（-DpropertyProtectionPassword=...）时将其作为系统属性提供。

如果您使用KeyStore，同样的问题仍然存在，KeyStore也受密码保护。基本上，你需要在某处拥有一个主密码，而且很难保护。

Answer 2

是的，绝对不要写自己的算法。 Java有很多加密API。

如果您安装的操作系统有密钥库，那么您可以使用它来存储加密和加密配置或其他文件中的敏感数据所需的加密密钥。

Answer 3

查看jasypt，这是一个提供基本加密功能的库，只需要很少的工作量。

Answer 4

我认为最好的方法是确保您的配置文件（包含您的密码）只能由特定用户帐户访问。例如，您可能有一个特定于应用程序的用户appuser，只有受信任的人才能拥有该密码（以及su的密码）。

这样，没有烦人的加密开销，你仍然有一个安全的密码。

编辑： 我假设您没有在受信任的环境之外导出您的应用程序配置（鉴于此问题，我不确定是否有任何意义）

Answer 5

那么解决主密码的问题 - 最好的方法是不将密码存储在任何地方，应用程序应该为自己加密密码 - 这样只有它才能解密它们。因此，如果我使用.config文件，我会执行以下操作， mySettings.config ：

encryptTheseKeys =秘密密钥，anotherSecret

秘密密钥= unprotectedPasswordThatIputHere

anotherSecret = anotherPass

someKey = unprotectedSettingIdontCareAbout

所以我会阅读中提到的密钥 encryptTheseKeys，将上面的Brodwalls示例应用于它们和使用某种标记将它们写回文件（让我们说 crypt：）让应用程序知道不再这样做，输出看起来像这样：

encryptTheseKeys =秘密密钥，anotherSecret

秘密密钥= <强>隐窝：ii4jfj304fjhfj934fouh938

anotherSecret = <强>隐窝：jd48jofh48h

someKey = unprotectedSettingIdontCareAbout

请确保将原件保存在您自己的安全位置......

Answer 6

最重要的是，房间里的大象以及所有这些，如果您的应用程序可以获取密码，，那么有权访问该框的黑客也可以抓住它！

唯一的解决方法是应用程序使用标准输入在控制台上请求“主密码”，然后使用它来解密存储在文件中的密码。当然，这完全使得应用程序启动无法在操作系统启动时无人启动。

然而，即使有这种程度的烦恼，如果黑客设法获得root访问权限（甚至只是作为运行应用程序的用户访问），他可以转储内存并在那里找到密码。

要确保的是，不要让整个公司都能访问生产服务器（以及密码），并确保无法破解此框！

Answer 7

查看Jetty中可用于在配置文件中存储密码（或散列）的内容，并考虑OBF编码是否对您有用。然后在源中看到它是如何完成的。

http://www.eclipse.org/jetty/documentation/current/configuring-security-secure-passwords.html

Answer 8

尝试使用ESAPIs加密方法。它易于配置，您还可以轻松更改密钥。

http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Encryptor.html

你

1）加密 2）解密 3）符号 4）unsign 5）散列 6）基于时间的签名以及更多只有一个库。

Answer 9

根据您需要配置文件的安全性或应用程序的可靠性，http://activemq.apache.org/encrypted-passwords.html可能是一个很好的解决方案。

如果您不太担心要解密的密码，使用bean来存储密码密钥可能非常简单。但是，如果您需要更高的安全性，可以使用机密设置环境变量并在启动后将其删除。有了这个，你必须担心应用程序/服务器关闭而不是应用程序不能自动重新启动。

Answer 10

如果您使用 java 8 ，可以通过替换

来避免使用内部Base64编码器和解码器

return new BASE64Encoder().encode(bytes);

与

return Base64.getEncoder().encodeToString(bytes);

和

return new BASE64Decoder().decodeBuffer(property);

与

return Base64.getDecoder().decode(property);

请注意，此解决方案无法保护您的数据，因为解密方法存储在同一位置。这只是让它更难打破。主要是它避免打印它并错误地显示给每个人。

加密配置文件中的密码？

10 个答案: