保护嵌入的密码

发布于 2024-07-05 11:39:51 字数 156 浏览 5 评论 0原文

我有一个java属性文件，其中存储了我的应用程序的所有信息，例如徽标图像文件名、数据库名称、数据库用户和数据库密码。

我可以将加密的密码存储在属性文件中。但是，可以使用反编译器从 jar 中读取密钥或密码。

有没有办法将数据库通行证安全地存储在属性文件中？

原文

分享到QQ

分享到微博

如果你对这篇内容有疑问，欢迎到本站社区发帖提问参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。

发布评论

需要登录才能够评论，你可以免费注册一个本站的账号。

高跟鞋的旋律 2024-07-12 11:39:51

有多种方法可以管理这个问题。如果您能找到一种方法，让用户在应用程序启动时为密钥库提供密码，最合适的方法是使用密钥加密所有值，并将该密钥存储在密钥库中。密钥库的命令行界面是使用 keytool。然而，JSE 也有 API 可以通过编程方式访问密钥库。

如果您无法让用户在启动时手动向密钥库提供密码（例如对于 Web 应用程序），一种方法是编写一个异常复杂的混淆例程，该例程可以混淆密钥并将其存储在还有一个属性文件。需要记住的重要一点是，混淆和反混淆逻辑应该是多层的（可能涉及加扰、编码、引入虚假字符等），并且本身应该至少有一个可以隐藏在应用程序中其他类中的密钥使用不直观的名称。这不是一种完全安全的机制，因为拥有反编译器和相当多的时间和智力的人仍然可以解决它，但这是我所知道的唯一不需要您闯入本机（即不易反编译）代码的机制。

回复收藏 0 原文

橘亓 2024-07-12 11:39:51

您将密码的 SHA1 哈希值存储在属性文件中。然后，当您验证用户密码时，您会对他们的登录尝试进行哈希处理并确保两个哈希值匹配。

这是将为您散列一些字节的代码。您可以使用 getBytes() 方法轻松地从字符串中获取字节。

/**
     * Returns the hash value of the given chars
     * 
     * Uses the default hash algorithm described above
     * 
     * @param in
     *            the byte[] to hash
     * @return a byte[] of hashed values
     */
    public static byte[] getHashedBytes(byte[] in)
    {
        MessageDigest msg;
        try
        {
            msg = MessageDigest.getInstance(hashingAlgorithmUsed);
        }
        catch (NoSuchAlgorithmException e)
        {
            throw new AssertionError("Someone chose to use a hashing algorithm that doesn't exist.  Epic fail, go change it in the Util file.  SHA(1) or MD5");
        }
        msg.update(in);
        return msg.digest();
    }

You store a SHA1 hash of the password in your properties file. Then when you validate a users password, you hash their login attempt and make sure that the two hashes match.

This is the code that will hash some bytes for you. You can easily ger bytes from a String using the getBytes() method.

/**
     * Returns the hash value of the given chars
     * 
     * Uses the default hash algorithm described above
     * 
     * @param in
     *            the byte[] to hash
     * @return a byte[] of hashed values
     */
    public static byte[] getHashedBytes(byte[] in)
    {
        MessageDigest msg;
        try
        {
            msg = MessageDigest.getInstance(hashingAlgorithmUsed);
        }
        catch (NoSuchAlgorithmException e)
        {
            throw new AssertionError("Someone chose to use a hashing algorithm that doesn't exist.  Epic fail, go change it in the Util file.  SHA(1) or MD5");
        }
        msg.update(in);
        return msg.digest();
    }

回复收藏 0 原文