如何保护消息负载中的凭据？

Question

我们在应用程序中使用消息队列（JMS / ActiveMQ）来促进客户端应用程序和服务器应用程序之间的通信。尝试调用服务器应用程序的用户的用户名和密码作为发送到队列的每条消息的一部分从客户端发送。我们希望通过以下方式保护用户凭据（至少是密码）：

• 当消息有效负载打印到日志文件时，它们不可见
• 当管理员在管理控制台中查看消息时，它们不可见，让他们查看队列的内容
• 没有人可以使用截获消息中的凭据创建新消息（即使它被屏蔽/散列/加密）。

简单地在客户端屏蔽密码并在服务器端取消屏蔽是不够的，因为有人可以从日志文件或管理控制台拦截屏蔽密码，创建包含恶意数据的新消息，然后发送恶意消息被揭开并在服务器端执行。使用客户端和消息队列之间的安全通道也会存在同样的问题，因为管理控制台仍然会公开密码（屏蔽或未屏蔽）。

是否有任何模式可以管理这种从客户端一直到服务器的数据隐藏/屏蔽，而任何人（甚至消息代理管理员）都看不到数据？

Answer 1

一种解决方案是使用共享密钥，然后对密码进行加密。为了防止重放攻击，请阅读 Nonce 是什么：http://publib.boulder.ibm.com/infocenter/wasinfo/v6r1/index.jsp?topic=/com.ibm。 websphere.express.doc/info/exp/ae/cwbs_noncev6.html。

Example 1:

Client Sends:
      Encrypt(username + password + timestamp)
      Timestamp

Server:

Decrypt to get username, password, timestamp
      compare timestamp in encrypted data == unencrypted timestamp
      if timestamp older than N, then reject

This disallows replay attacks outside of the timestamp +- N window.

Example 2:

Client Sends:
       Encrypt( username + password + Nonce )

Server:
       Decrypt to get usernmae, password, Nonce
       check if Nonce was used before (for this username )
       if it was, then reject