Kennwort in Konfigurationsdateien verschlüsseln?

Einen einfachen Weg, dies zu tun ist die Verwendung von Passwort-Basierte Verschlüsselung in Java. Dies ermöglicht es Ihnen, verschlüsseln und entschlüsseln einen text mit einem Kennwort.

Grundsätzlich bedeutet dies, dass die Initialisierung einer javax.crypto.Cipher mit Algorithmus "AES/CBC/PKCS5Padding" und bekommen einen Schlüssel aus javax.crypto.SecretKeyFactory mit der "PBKDF2WithHmacSHA512" Algorithmus.

Hier ist ein code Beispiel (aktualisierte zu ersetzen, die weniger sicher MD5-basierte Variante):

import java.io.IOException;
import java.io.UnsupportedEncodingException;
import java.security.AlgorithmParameters;
import java.security.GeneralSecurityException;
import java.security.NoSuchAlgorithmException;
import java.security.spec.InvalidKeySpecException;
import java.util.Base64;
import javax.crypto.Cipher;
import javax.crypto.SecretKey;
import javax.crypto.SecretKeyFactory;
import javax.crypto.spec.IvParameterSpec;
import javax.crypto.spec.PBEKeySpec;
import javax.crypto.spec.SecretKeySpec;

public class ProtectedConfigFile {

    public static void main(String[] args) throws Exception {
        String password = System.getProperty("password");
        if (password == null) {
            throw new IllegalArgumentException("Run with -Dpassword=<password>");
        }

        //The salt (probably) can be stored along with the encrypted data
        byte[] salt = new String("12345678").getBytes();

        //Decreasing this speeds down startup time and can be useful during testing, but it also makes it easier for brute force attackers
        int iterationCount = 40000;
        //Other values give me java.security.InvalidKeyException: Illegal key size or default parameters
        int keyLength = 128;
        SecretKeySpec key = createSecretKey(password.toCharArray(),
                salt, iterationCount, keyLength);

        String originalPassword = "secret";
        System.out.println("Original password: " + originalPassword);
        String encryptedPassword = encrypt(originalPassword, key);
        System.out.println("Encrypted password: " + encryptedPassword);
        String decryptedPassword = decrypt(encryptedPassword, key);
        System.out.println("Decrypted password: " + decryptedPassword);
    }

    private static SecretKeySpec createSecretKey(char[] password, byte[] salt, int iterationCount, int keyLength) throws NoSuchAlgorithmException, InvalidKeySpecException {
        SecretKeyFactory keyFactory = SecretKeyFactory.getInstance("PBKDF2WithHmacSHA512");
        PBEKeySpec keySpec = new PBEKeySpec(password, salt, iterationCount, keyLength);
        SecretKey keyTmp = keyFactory.generateSecret(keySpec);
        return new SecretKeySpec(keyTmp.getEncoded(), "AES");
    }

    private static String encrypt(String property, SecretKeySpec key) throws GeneralSecurityException, UnsupportedEncodingException {
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.ENCRYPT_MODE, key);
        AlgorithmParameters parameters = pbeCipher.getParameters();
        IvParameterSpec ivParameterSpec = parameters.getParameterSpec(IvParameterSpec.class);
        byte[] cryptoText = pbeCipher.doFinal(property.getBytes("UTF-8"));
        byte[] iv = ivParameterSpec.getIV();
        return base64Encode(iv) + ":" + base64Encode(cryptoText);
    }

    private static String base64Encode(byte[] bytes) {
        return Base64.getEncoder().encodeToString(bytes);
    }

    private static String decrypt(String string, SecretKeySpec key) throws GeneralSecurityException, IOException {
        String iv = string.split(":")[0];
        String property = string.split(":")[1];
        Cipher pbeCipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
        pbeCipher.init(Cipher.DECRYPT_MODE, key, new IvParameterSpec(base64Decode(iv)));
        return new String(pbeCipher.doFinal(base64Decode(property)), "UTF-8");
    }

    private static byte[] base64Decode(String property) throws IOException {
        return Base64.getDecoder().decode(property);
    }
}

Bleibt ein problem: Wo sollten Sie speichern das Kennwort, das Sie zum verschlüsseln der Passwörter? Sie können speichern Sie es in der Quell-Datei und verschleiern es, aber es ist auch nicht schwer es wieder zu finden. Alternativ, Sie können es als ein-system-Eigenschaft, wenn Sie starten Sie den Java-Prozess (-DpropertyProtectionPassword=...).

Das gleiche Problem bleibt, wenn Sie den KeyStore, das ist auch durch ein Passwort geschützt. Im Grunde, müssen Sie ein master-Passwort irgendwo, und es ist ziemlich schwer zu schützen.

InformationsquelleAutor der Antwort Johannes Brodwall

Check-out jasypt, die eine Bibliothek bietet grundlegende Verschlüsselungs-Funktionen mit minimalem Aufwand.

InformationsquelleAutor der Antwort

Sowie Probleme zu lösen, die der master-Passwort - der beste Ansatz ist, nicht zu speichern, das Passwort irgendwo, sollte die Anwendung verschlüsseln von Kennwörtern für sich selbst - so, dass nur er entschlüsseln kann. Also wenn ich mit einem .config-Datei würde ich Folgendes tun, mySettings.config:

encryptTheseKeys=secretKey,anotherSecret

secretKey=unprotectedPasswordThatIputHere

anotherSecret=anotherPass

someKey=unprotectedSettingIdontCareAbout

so, ich lese die keys, die im Text erwähnt
encryptTheseKeys, gelten die Brodwalls Beispiel von oben auf Sie und
schreiben Sie zurück, um die Datei mit einem marker irgendeiner Art der (sagen wir crypt:), damit die Anwendung weiß, es nicht wieder zu tun, die Ausgabe würde wie folgt Aussehen:

encryptTheseKeys=secretKey,anotherSecret

secretKey=crypt:ii4jfj304fjhfj934fouh938

anotherSecret=crypt:jd48jofh48h

someKey=unprotectedSettingIdontCareAbout

Nur stellen Sie sicher, dass Sie die Originale in Ihren eigenen sicheren Ort...

InformationsquelleAutor der Antwort user1007231

Habe ich eine einfache PropertyEncryptor in Java. Sie können verschlüsseln Sie Ihre property-Dateien während des build. Dann können Sie entschlüsseln mithilfe eines EncryptionHelper in Ihre Programme. Finden Sie die Quell-codes in dieser Lage http://devpinoy.org/blogs/jakelite/archive/2009/07/14/encrypting-passwords-in-java-property-files.aspx

InformationsquelleAutor der Antwort jake.stateresa

Sehen, was verfügbar ist in Steg für die Speicherung von Passwort (oder hashes) in Konfigurationsdateien, und überlegen Sie, ob die OBF-Codierung könnte für Sie nützlich sein. Dann finden Sie in der Quelle, wie es gemacht wird.

http://www.eclipse.org/jetty/documentation/current/configuring-security-secure-passwords.html

InformationsquelleAutor der Antwort Thorbjørn Ravn Andersen

Wenn Sie java 8 die Verwendung des internen Base64 encoder und decoder können vermieden werden, indem Sie ersetzen

return new BASE64Encoder().encode(bytes);

mit

return Base64.getEncoder().encodeToString(bytes);

und

return new BASE64Decoder().decodeBuffer(property);

mit

return Base64.getDecoder().decode(property);

Beachten Sie, dass diese Lösung nicht schützen Sie Ihre Daten, wie die Methoden für die Entschlüsselung sind an der gleichen Stelle gespeichert. Es macht es nur schwieriger zu brechen. Vor allem vermeidet es, drucken Sie es und zeigen Sie es an alle mit dem Fehler.

InformationsquelleAutor der Antwort Antonio Raposo