java - 保留 Web 服务密码

Question

我不是安全人员，因此非常感谢对此提供任何帮助。

我有大量第三方现场设备，它们具有可以使用 ssl 跨 xml-rpc 调用的远程方法。对于每个方法调用，用户名和密码必须以纯文本形式作为参数与任何其他方法参数一起传输。我无法控制设备或其实现。

我目前正在编写一个网络应用程序，用户可以登录该应用程序，然后可以访问其中一些现场设备。用户不需要知道他们连接的是什么设备，他们只需要数据。因此，我需要将每个设备的用户名和密码保存在数据库中，以便在需要进行 rpc 调用时检索它们。

如何加密我的设备服务密码，以便在需要调用电话时可以解密这些密码？需要调用电话时如何解密密码？

我在应用程序中使用 Java 和 Spring。

请注意，我不是在问如何保留用户的登录密码。

Answer 1

如果我有这个权利，每个现场设备只有一个用户名/密码(尽管每个都不同并且有很多现场设备)。

构建可访问所有设备密码的安全代理服务。设备密码可以使用代理服务的公钥加密存储。您的网络应用程序向代理服务提供用户 key ，代理服务(假设满意)代表他们与现场设备对话。 CryptoApi 或其包装器之一应该是您所需要的。

您不对数字发表评论，但鉴于代理是无状态的，它应该可以扩展。