Wie vermeidet man das Speichern von Passwörtern im Klartext für tomcat's server.xml Ressourcendefinition einer DataSource?

Tomcat hat ein Passwort FAQdie speziell für Adressen Ihre Frage. Kurz gesagt: Bewahren Sie das Kennwort an, die klar und korrekt Sperrung Ihres Servers.

Diese Seite bietet auch einige Anregungen, wie security-by-obscurity könnte verwendet werden, um pass ein auditor Checkliste.

InformationsquelleAutor der Antwort Ryan

Als @Ryan erwähnt, bitte Lesen Sie Tomcat Tomcat Passwort FAQ vor der Implementierung dieser Lösung. Sie sind nur das hinzufügen von obscurity keine security.

@Jerome Delattre Antwort funktioniert für einfache JDBC-Datenquellen, aber nicht für komplizierter diejenigen, die eine Verbindung als Teil des datasource-Konstruktion (z.B. oracle.jdbc.xa.client.OracleXADataSource).

Dies ist der alternative Ansatz, der ändert das Passwort vor dem aufrufen der bestehenden Fabrik. Unten ist ein Beispiel einer Fabrik, die für eine grundlegende Datenquelle und eines für eine Atomikos JTA-kompatiblen XA-datasource.

Einfaches Beispiel:

public class MyEncryptedPasswordFactory extends BasicDataSourceFactory {

    @Override
    public Object getObjectInstance(Object obj, Name name, Context context, Hashtable<?, ?> environment)
            throws Exception {
        if (obj instanceof Reference) {
            Reference ref = (Reference) obj;
            DecryptPasswordUtil.replacePasswordWithDecrypted(ref, "password");
            return super.getObjectInstance(obj, name, context, environment);
        } else {
            throw new IllegalArgumentException(
                    "Expecting javax.naming.Reference as object type not " + obj.getClass().getName());
        }
    }
}

Atomikos Beispiel:

public class MyEncryptedAtomikosPasswordFactory extends EnhancedTomcatAtomikosBeanFactory {
    @Override
    public Object getObjectInstance(Object obj, Name name, Context context, Hashtable<?, ?> environment)
            throws NamingException {
        if (obj instanceof Reference) {
            Reference ref = (Reference) obj;
            DecryptPasswordUtil.replacePasswordWithDecrypted(ref, "xaProperties.password");
            return super.getObjectInstance(obj, name, context, environment);
        } else {
            throw new IllegalArgumentException(
                    "Expecting javax.naming.Reference as object type not " + obj.getClass().getName());
        }
    }
}

Update-password-Wert in Referenz:

public class DecryptPasswordUtil {

    public static void replacePasswordWithDecrypted(Reference reference, String passwordKey) {
        if(reference == null) {
            throw new IllegalArgumentException("Reference object must not be null");
        }

        //Search for password addr and replace with decrypted
        for (int i = 0; i < reference.size(); i++) {
            RefAddr addr = reference.get(i);
            if (passwordKey.equals(addr.getType())) {
                if (addr.getContent() == null) {
                    throw new IllegalArgumentException("Password must not be null for key " + passwordKey);
                }
                String decrypted = yourDecryptionMethod(addr.getContent().toString());
                reference.remove(i);
                reference.add(i, new StringRefAddr(passwordKey, decrypted));
                break;
            }
        }
    }
}

Einmal die .jar-Datei, die diese Klassen sind in der Tomcat-classpath können Sie aktualisieren Sie Ihre server.xml um Sie zu benutzen.

<Resource factory="com.mycompany.MyEncryptedPasswordFactory" username="user" password="encryptedPassword" ...other options... />

<Resource factory="com.mycompany.MyEncryptedAtomikosPasswordFactory" type="com.atomikos.jdbc.AtomikosDataSourceBean" xaProperties.user="user" xaProperties.password="encryptedPassword" ...other options... />

InformationsquelleAutor der Antwort JustinKSU

Nach 4 Stunden Arbeit, suchen, Fragen und Antworten ich habe die Lösung.
Auf der Grundlage der Antwort von @Jerome Delattre hier ist der komplette code (mit dem JNDI Data-source-Konfiguration).

Context.xml

<Resource
    name="jdbc/myDataSource"
    auth="Container"
    type="javax.sql.DataSource"
    username="user"
    password="encryptedpassword"
    driverClassName="driverClass"
    factory="mypackage.MyCustomBasicDataSourceFactory"
    url="jdbc:blabla://..."/>

Custom Data Source Factory:

package mypackage;

public class MyCustomBasicDataSourceFactory extends org.apache.tomcat.dbcp.dbcp.BasicDataSourceFactory {
    @Override
    public Object getObjectInstance(Object obj, Name name, Context nameCtx, Hashtable environment) throws Exception {
        Object o = super.getObjectInstance(obj, name, nameCtx, environment);
        if (o != null) {
            BasicDataSource ds = (BasicDataSource) o;
            if (ds.getPassword() != null && ds.getPassword().length() > 0) {
                String pwd = MyPasswordUtilClass.unscramblePassword(ds.getPassword());
                ds.setPassword(pwd);
            }
            return ds;
        } else {
            return null;
        }
    }
}

Datenquelle bean:

@Bean
public DataSource dataSource() {
    DataSource ds = null;
    JndiTemplate jndi = new JndiTemplate();
    try {
        ds = jndi.lookup("java:comp/env/jdbc/myDataSource", DataSource.class);
    } catch (NamingException e) {
        log.error("NamingException for java:comp/env/jdbc/myDataSource", e);
    }
    return ds;
}

InformationsquelleAutor der Antwort HolloW

Verwenden wir C#'s SHA1CryptoServiceProvider

print(SHA1CryptoServiceProvider sHA1Hasher = new SHA1CryptoServiceProvider();
        ASCIIEncoding enc = new ASCIIEncoding();

        byte[] arrbytHashValue = sHA1Hasher.ComputeHash(enc.GetBytes(clearTextPW));
        string HashData = System.BitConverter.ToString(arrbytHashValue);
        HashData = HashData.Replace("-", "");
        if (HashData == databaseHashedPassWO)
        {
            return true;
        }
        else
        {
            return false;
        });

)

InformationsquelleAutor der Antwort Brad8118