Question

我针对安全漏洞针对checkmarx工具运行了我的java应用程序，并且它经常出现问题 - 堆检查，对于我使用字符数组的密码字段。除了指出密码字段的声明之外，它没有给出任何解释。

private char[] passwordLength;

有谁可以帮助我，我还能找到解决这个问题的方法吗？

Answer 1

堆检查是关于未加密的机器内存中存储的敏感信息，因此如果攻击者执行内存转储（例如，Heartbleed错误），则该信息会受到损害。因此，仅仅掌握这些信息就会使其变得脆弱。

可以通过以安全的方式存储此类敏感信息来缓解这种情况，例如GuardedString对象而不是String或char数组，或加密它并在之后擦除原始短片。

有关更多信息，请参阅this CWE（描述C / C ++，但Java的相关性相同）。

Answer 2

Checkmarx堆检查安全漏洞 大家好，当我在Spring应用程序中将String类型的变量用作密码时，我遇到了这个问题。如下所示

  class User {
     private String username;
     private String password;
         //setter 
         //getter
     }

然后要解决此问题，我已完成以下步骤： 1.创建如下的SecureString类：

   import java.security.SecureRandom;
   import java.util.Arrays;

   /**
    * This is not a string but a CharSequence that can be cleared of its memory.
    * Important for handling passwords. Represents text that should be kept
   * confidential, such as by deleting it from computer memory when no longer
   * needed or garbage collected.
   */

  /**
  * Created by Devendra on 16/04/2020
  */

  public class SecureString implements CharSequence {

    private final int[] chars;
    private final int[] pad;

    public SecureString(final CharSequence original) {
        this(0, original.length(), original);
    }

    public SecureString(final int start, final int end, final CharSequence original) {
        final int length = end - start;
        pad = new int[length];
        chars = new int[length];
        scramble(start, length, original);
    }

    @Override
    public char charAt(final int i) {
        return (char) (pad[i] ^ chars[i]);
    }

    @Override
    public int length() {
        return chars.length;
    }

    @Override
    public CharSequence subSequence(final int start, final int end) {
        return new SecureString(start, end, this);
    }

    /**
     * Convert array back to String but not using toString(). See toString() docs
     * below.
     */
    public String asString() {
        final char[] value = new char[chars.length];
        for (int i = 0; i < value.length; i++) {
            value[i] = charAt(i);
        }
        return new String(value);
    }

    /**
     * Manually clear the underlying array holding the characters
     */
    public void clear() {
        Arrays.fill(chars, '0');
        Arrays.fill(pad, 0);
    }

    /**
     * Protect against using this class in log statements.
     * <p>
     * {@inheritDoc}
     */
    @Override
    public String toString() {
        return "Secure:XXXXX";
    }

    /**
     * Called by garbage collector.
     * <p>
     * {@inheritDoc}
     */
    @Override
    public void finalize() throws Throwable {
        clear();
        super.finalize();
    }

    /**
     * Randomly pad the characters to not store the real character in memory.
     *
     * @param start start of the {@code CharSequence}
     * @param length length of the {@code CharSequence}
     * @param characters the {@code CharSequence} to scramble
     */
    private void scramble(final int start, final int length, final CharSequence 
    characters) {
        final SecureRandom random = new SecureRandom();
        for (int i = start; i < length; i++) {
            final char charAt = characters.charAt(i);
            pad[i] = random.nextInt();
            chars[i] = pad[i] ^ charAt;
        }
    }

}

创建的自定义属性编辑器为：

import java.beans.PropertyEditorSupport; 导入org.springframework.util.StringUtils;

public class SecureStringEditor extends PropertyEditorSupport {


   @Override
    public String getAsText() {
       SecureString  value =(SecureString) getValue();
       SecureString  secStr = new SecureString(value);
        return (value != null) ? secStr.asString() : "";
    }

    @Override
    public void setAsText(String text) throws java.lang.IllegalArgumentException {
        if (StringUtils.isEmpty(text)) {
            setValue(null);
        } else {
            setValue(new SecureString(text));
        }
    }
}

将此自定义属性编辑器注册为spring-bean.xml文件：

Answer 3

有关问题“覆盖字符串中的char []值是否更安全”，请参见 security.stackexchange.com 上的this answer。

TLDR：您不能做很多事情。

PS：这是一个姐妹stackexchange网站，我不在这里复制答案（而且，它太长了）。如果主持人不同意，则可以随意复制/粘贴。

Answer 4

将机密信息存储在JVM内存中的示例方法

恕我直言，您应该使用SealedObject将加密的凭据数据存储在JVM内存中。

您需要以下软件包：

java.security.SecureRandom
javax.crypto.Cipher
javax.crypto.KeyGenerator
javax.crypto.SealedObject
javax.crypto.SecretKey

因此您创建

初始化密钥生成器，它创建一个秘密密钥
通过密钥和安全随机数初始化的密码
然后您使用密码创建一个新的密封对象
您的凭据的所有存储和（临时）加载都是在替换了char数组的密封对象上完成的。

可以在以下位置找到一个工作示例： https://github.com/Daimler/sechub/blob/develop/sechub-adapter/src/main/java/com/daimler/sechub/adapter/CryptoAccess.java

堆检查安全漏洞

4 个答案:

将机密信息存储在JVM内存中的示例方法