java - SSL 系统属性 - 安全风险？

Question

这可能是一个愚蠢的问题，但是通过 System.setProperty 设置我的 Web 服务器 ssl 配置(例如 keystore 密码)会有多大的安全风险......

如果我做了类似的事情:

System.setProperty("javax.net.keyStorePassword", "password");

1. 这可能会导致安全问题吗？
2. 有没有办法在设置属性的同时防范这种风险？
3. 有人会如何妥协？

注意:只是添加更多细节，这是一个在 Red Hat 中的 Tomcat 6 上运行的 Web 应用程序。

Answer 1

这有多大风险取决于您的代码运行的环境以及您试图防范的对象。如果攻击者可以访问平台本身或可以以某种方式将代码注入(inject)您的平台，那么以这种方式设置属性是您遇到的最少麻烦。

只要您的平台能够防止攻击者在您的环境中运行任意代码，您就应该非常安全。