java - 如何存储 Java KeyStore 密码？

Question

在我的 Web 应用程序中，我访问存储在 Java KeyStore 中的私钥。我想知道存储 KeyStore 和私钥密码的最佳/推荐方法是什么。

我考虑过使用属性文件，但在生产环境中使用它似乎不太安全(将密码存储在纯文本文件中)。此外，在我的代码中硬编码密码不是我愿意接受的选项。

谢谢。

Answer 1

这是一个棘手的引导问题。一些选项:

• 让您的应用提示用户解锁 keystore (不是很友好，但可以)

• 将密码存储在所有者只读文件 (0400) 中，并使用它来解锁 keystore 。攻击者必须闯入您的服务器才能读取文件。这似乎是使用最广泛的技术
• 使用 HSM
• 使用像 Hashicorp Vault 这样的东西(但它也有引导问题)。