java - 密码管理

Question

我有一个关于密码管理的问题。假设我有一个程序，用户输入密码，数据以加密方式存储。

一种方法是:使用用户密码加密数据。优点:用户将负责密码的安全性以及您的数据的安全性。缺点:如果用户更改密码，则必须对所有数据进行解密和加密。

否则:数据使用用户以外的密码加密(随机)。以及用于加密随 secret 码的用户密码。优点:如果用户更改密码，则不必重新加密所有内容。

至于保存用户密码，我正在使用 jasypt.org。可以吗？正确的方法是什么？我认为弱点在于加密器 Jasypt。使用 AES-128 加密的数据。使用 Jasypt，因为我只知道这些。

Answer 1

通常，您应该使用密码加密数据 key 。

要加密，首先将密码转换为 key 。您将为此使用基于密码的 key 派生函数 (PBKDF)。 PBKDF2 目前是最标准的选择。

您使用随机生成的 key 加密数据。此 key 又使用从密码生成的 key 加密。

要更改密码，请先索要原始密码。然后解密数据 key 。然后您可以要求一个新密码并重新加密数据 key 。不必触及加密数据本身。