在 Java 中使用对称加密保护磁盘上的私钥

Question

我有一个分布式应用程序，它轮询来自中央服务器的命令，这些命令的内容由私钥“签名”，公钥与每个远程站点的应用程序一起部署。每个命令都使用私钥进行签名，并且在执行命令之前会验证签名。

这是我在 java 中生成公钥/私钥对的方法。 （我意识到，我们应该做的比 1024 多）

KeyPairGenerator keyGen = KeyPairGenerator.getInstance("DSA", "SUN");
    SecureRandom random = SecureRandom.getInstance("SHA1PRNG", "SUN");
keyGen.initialize(1024, random);
KeyPair pair = keyGen.generateKeyPair();

新的要求是，除了发送简单的相对安全的命令之外，我们现在还想发送指示我们的软件下载并执行安装程序的命令来更新自己。如果做得不正确，这可能会造成一个大洞。 “执行更新安装程序”命令将一如既往地进行签名，并且还将包含将下载并运行的可执行文件的 md5。因此，命令上的签名必须正确（并且将包含 md5），然后在执行之前计算出的下载文件的 md5 也必须正确。这应该可以解决我能想到的大多数攻击向量。 还有其他我应该关心的吗？

因此，现在我将注意力集中在这些命令发出的服务器上的私钥的安全上。如果获得了该私钥，则游戏结束。我应该如何保护磁盘上的密钥？

我的想法是使用带有密码的对称加密来保护该私钥。

我当前的解决方案如下：

char[] passphrase; // Actual passphrase
PrivateKey privateKeyObj; // Actual Private Key
byte[] privateKeyBytes = privateKeyObj.getEncoded();

byte[] salt = new byte[8];
new SecureRandom().nextBytes(salt);

SecretKeyFactory factory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA1");
KeySpec spec = new PBEKeySpec(passphrase, salt, 1024, 256);
SecretKey tmp = factory.generateSecret(spec);
SecretKey secret = new SecretKeySpec(tmp.getEncoded(), "AES");

Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
cipher.init(Cipher.ENCRYPT_MODE, secret);
AlgorithmParameters params = cipher.getParameters();
byte[] iv = params.getParameterSpec(IvParameterSpec.class).getIV();

byte[] ciphertext = cipher.doFinal(privateKeyBytes);

FileOutputStream outputFileStream = new FileOutputStream(outputFile);
outputFileStream.write(salt);
outputFileStream.write(iv);
outputFileStream.write(ciphertext);
outputFileStream.close();

（为了清楚起见，删除了例外）

这基本上随机生成一个盐，使用密码来得出密钥，然后将生成的盐、IV 和密文存储在一个文件中，以供使用解密。

然而，我觉得这里缺少了一些东西。就像我还应该以某种方式在密钥上包含某种类型的 MAC，以便我知道我得到了有效的描述？也许这很简单，只需在私钥之前放置 5 或 6 个字节的已知文本？现在，错误的密码只会导致错误的填充异常，但我读到，情况可能并不总是如此，一些错误的密码会解码并导致垃圾。我觉得我需要警惕这一点。

有人可以让我知道我是否走在正确的轨道上并提供一些反馈吗？重要的是我要尽可能安全地做到这一点。

Answer 1

考虑到您想知道是否输错了密码，包含哈希值或 HMAC 是合理的。否则，你的解决方案对我来说看起来很合理。

为了尽可能安全地存储它，您还可以做另一件事：将其离线。将副本放在几个 USB 密钥上，将一个存储在安全的地方但可以拿到手上，并将备份放在保险箱中或交给律师。人们经常听说，如果物理上无法访问密钥，就可以获取密钥。

Answer 2

在某些情况下，不使用 HMAC 或众所周知的前缀可能会使攻击者更难破解。请注意，如果您不包含 HMAC，在某些情况下您仍然会遇到解码异常（由损坏的填充引起），这足以识别错误的密码。