У меня есть программа, которая считывает информацию о сервере из файла конфигурации и хочет зашифровать пароль в этой конфигурации, который может быть прочитан моей программой и дешифрован.
ТРЕБОВАНИЙ:
Любые рекомендации о том, как я буду делать это? Я думал написать собственный алгоритм, но я чувствую, что это будет ужасно неуверенно.
Простой способ сделать это - использовать шифрование на основе пароля на Java. Это позволяет шифровать и расшифровывать текст с помощью пароля.
Это в основном означает инициализацию javax.crypto.Cipher с алгоритмом "AES/CBC/PKCS5Padding" и получение ключа от javax.crypto.SecretKeyFactory с "PBKDF2WithHmacSHA512" алгоритма "PBKDF2WithHmacSHA512".
Вот пример кода (обновленный для замены менее безопасного варианта на основе MD5):
import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.security.AlgorithmParameters;
import java.security.GeneralSecurityException;
import java.security.NoSuchAlgorithmException;
import java.security.spec.InvalidKeySpecException;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.PBEKeySpec;
import javax.crypto.spec.SecretKeySpec;
public class ProtectedConfigFile {
public static void main(String[] args) throws Exception {
String password = System.getProperty("password");
if (password == null) {
throw new IllegalArgumentException("Run with -Dpassword=<password>");
}
// The salt (probably) can be stored along with the encrypted data
byte[] salt = new String("12345678").getBytes();
// Decreasing this speeds down startup time and can be useful during testing, but it also makes it easier for brute force attackers
int iterationCount = 40000;
// Other values give me java.security.InvalidKeyException: Illegal key size or default parameters
int keyLength = 128;
SecretKeySpec key = createSecretKey(password.toCharArray(),
salt, iterationCount, keyLength);
String originalPassword = "secret";
System.out.println("Original password: " + originalPassword);
String encryptedPassword = encrypt(originalPassword, key);
System.out.println("Encrypted password: " + encryptedPassword);
String decryptedPassword = decrypt(encryptedPassword, key);
System.out.println("Decrypted password: " + decryptedPassword);
}
private static SecretKeySpec createSecretKey(char[] password, byte[] salt, int iterationCount, int keyLength) throws NoSuchAlgorithmException, InvalidKeySpecException {
SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");
PBEKeySpec keySpec = new PBEKeySpec(password, salt, iterationCount, keyLength);
SecretKey keyTmp = keyFactory.generateSecret(keySpec);
return new SecretKeySpec(keyTmp.getEncoded(), "AES");
}
private static String encrypt(String property, SecretKeySpec key) throws GeneralSecurityException, UnsupportedEncodingException {
Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
pbeCipher.init(Cipher.ENCRYPT_MODE, key);
AlgorithmParameters parameters = pbeCipher.getParameters();
IvParameterSpec ivParameterSpec = parameters.getParameterSpec(IvParameterSpec.class);
byte[] cryptoText = pbeCipher.doFinal(property.getBytes("UTF-8"));
byte[] iv = ivParameterSpec.getIV();
return base64Encode(iv) + ":" + base64Encode(cryptoText);
}
private static String base64Encode(byte[] bytes) {
return Base64.getEncoder().encodeToString(bytes);
}
private static String decrypt(String string, SecretKeySpec key) throws GeneralSecurityException, IOException {
String iv = string.split(":")[0];
String property = string.split(":")[1];
Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
pbeCipher.init(Cipher.DECRYPT_MODE, key, new IvParameterSpec(base64Decode(iv)));
return new String(pbeCipher.doFinal(base64Decode(property)), "UTF-8");
}
private static byte[] base64Decode(String property) throws IOException {
return Base64.getDecoder().decode(property);
}
}
Остается одна проблема: где вы должны хранить пароль, который вы используете для шифрования паролей? Вы можете сохранить его в исходном файле и обфускать его, но не слишком сложно найти его снова. В качестве альтернативы вы можете -DpropertyProtectionPassword=... его как системное свойство при запуске Java-процесса (-DpropertyProtectionPassword=...).
Эта же проблема сохраняется, если вы используете KeyStore, который также защищен паролем. В принципе, вам нужно иметь один главный пароль где-то, и его довольно сложно защитить.
Да, определенно не пишите свой собственный алгоритм. Java имеет множество криптографических API.
Если установленная ОС имеет хранилище ключей, вы можете использовать это для хранения криптографических ключей, которые вам необходимы для шифрования и дешифрования конфиденциальных данных в вашей конфигурации или других файлах.
Отъезд jasypt, который представляет собой библиотеку, предлагающую основные возможности шифрования с минимальными усилиями.
Я думаю, что лучший подход - обеспечить, чтобы ваш файл конфигурации (содержащий ваш пароль) был доступен только для определенной учетной записи пользователя. Например, у вас может быть пользователь, специфичный для приложения appuser, к которому только доверенные люди имеют пароль (и которому они su).
Таким образом, накладные расходы на криптографию отсутствуют, и у вас все еще есть безопасный пароль.
РЕДАКТИРОВАТЬ: Я предполагаю, что вы не экспортируете конфигурацию своего приложения за пределы доверенной среды (что я не уверен, что это будет иметь смысл, учитывая вопрос)
Ну, чтобы решить проблемы с основным паролем - лучший подход - не хранить пароль нигде, приложение должно шифровать пароли для себя - так, что только он может их расшифровать. Поэтому, если бы я использовал файл .config, я бы сделал следующее: mySettings.config:
encryptTheseKeys = SecretKey, anotherSecret
SecretKey = unprotectedPasswordThatIputHere
anotherSecret = anotherPass
someKey = unprotectedSettingIdontCareAbout
поэтому я бы прочитал в ключах, упомянутых в encryptTheseKeys, примените пример Brodwalls сверху на них и запишите их обратно в файл с каким-либо маркером (скажем, crypt:), чтобы приложение не успевало сделать это снова, результат будет выглядеть следующим образом:
encryptTheseKeys = SecretKey, anotherSecret
SecretKey = крипты: ii4jfj304fjhfj934fouh938
anotherSecret = крипты: jd48jofh48h
someKey = unprotectedSettingIdontCareAbout
Просто убедитесь, что вы сохранили оригиналы в своем безопасном месте...
Большая точка, и слон в комнате, и все такое, заключается в том, что если ваше приложение может получить пароль, тогда хакер, имеющий доступ к коробке, сможет его удержать!
Единственным способом, связанным с этим, является то, что приложение запрашивает "главный пароль" на консоли с помощью стандартного ввода, а затем использует его для дешифрования паролей, хранящихся в файле. Конечно, это полностью исключает возможность запуска приложения без присмотра вместе с ОС при загрузке.
Однако даже при таком уровне раздражения, если хакеру удается получить root-доступ (или даже просто доступ как пользователь, выполняющий ваше приложение), он может сбросить память и найти там пароль.
То, что нужно гарантировать, - это не позволить всей компании иметь доступ к серверу производства (и тем самым к паролям) и убедиться, что эту коробку невозможно взломать!
Посмотрите, что доступно в Jetty для хранения паролей (или хэшей) в файлах конфигурации, и подумайте, может ли быть полезно кодирование OBF для вас. Затем посмотрите в источнике, как это делается.
http://www.eclipse.org/jetty/documentation/current/configuring-security-secure-passwords.html
Я создал простой PropertyEncryptor в Java. Он может шифровать ваши файлы свойств во время сборки. Затем вы можете расшифровать его с помощью EncryptionHelper в своих программах. Исходные коды можно найти в этом месте http://devpinoy.org/blogs/jakelite/archive/2009/07/14/encrypting-passwords-in-java-property-files.aspx
Попробуйте использовать методы шифрования ESAPI. Его легко настроить, и вы также можете легко изменить свои ключи.
http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Encryptor.html
Вы
1) шифруют 2) дешифровать 3) знак 4) unsign 5) хэширования 6) подписи, основанные на времени, и многое другое только с одной библиотекой.
В зависимости от того, насколько безопасны вам файлы конфигурации или насколько надежны ваше приложение, http://activemq.apache.org/encrypted-passwords.html может быть хорошим решением для вас.
Если вы не слишком боитесь, что пароль расшифровывается, и его можно очень просто настроить с помощью bean для хранения ключа пароля. Однако, если вам нужна дополнительная безопасность, вы можете установить переменную окружения в секретный раздел и удалить ее после запуска. При этом вам нужно беспокоиться о том, что приложение/сервер идет вниз, а не приложение, которое автоматически не перезапускается.
На основе комментариев здесь я написал учебник о том, как шифровать/шифровать и распаковывать пароли в конфигурационных файлах .properties, используя Talend Data Integration.
Это на французском языке, но два способа предлагаются с использованием Jasypt или вышеприведенного примера Йоханнеса. Код может вас заинтересовать.
Если вы используете java 8, использование внутреннего кодера и декодера Base64 можно избежать, заменив
return new BASE64Encoder().encode(bytes);
с
return Base64.getEncoder().encodeToString(bytes);
и
return new BASE64Decoder().decodeBuffer(property);
с
return Base64.getDecoder().decode(property);
Обратите внимание, что это решение не защищает ваши данные, поскольку методы дешифрования хранятся в одном месте. Это просто усложняет разрыв. В основном это позволяет избежать печати и показать его всем по ошибке.