java - 如何在 Java 中将 key 归零？

Question

下面的 java 代码是否足以清除内存中的 key (将其所有字节值设置为 0)？

zerorize(SecretKey key)
{
    byte[] rawKey = key.getEncoded();
    Arrays.fill(rawKey, (byte) 0);
}

换句话说，getEncoded 方法是否返回实际 key 的副本或引用？如果返回副本，那么作为安全措施，我该如何清除 key ？

Answer 1

在尝试清除 key 之前，您应该首先检查SecretKey 接口(interface)的实现是否也实现了javax.security.auth.Destroyable 接口(interface)。如果是这样，当然更喜欢它。