java - 有人可以从 Java 应用程序中窃取密码吗？

Question

假设有一个保存明文密码的字符串变量。

是否有可能使用内存转储读取此密码。 (假设使用 Cheat Engine 。)我对这个 JVM 事情感到困惑。 JVM 是否对此提供某种保护。如果不是，我需要采取什么做法来避免这种“窃取”。

实际威胁是特洛伊木马；将内存转储的片段发送给外部方。

Answer 1

如前所述，是的，任何人都可以通过各种方式提取密码。加密密码并没有真正的帮助——如果它被应用程序解密，那么解密的形式也会在某个时候出现，再加上解密 key (或代码)本身就会成为一个漏洞。如果它以加密形式发送到其他地方，那么只知道加密形式就足以欺骗交易，所以这也无济于事。

基本上，只要“攻击者”也是“发送者”，您最终就会被破解——这就是音乐和视频行业无法让 DRM 发挥作用的原因。

我建议你拿一份 Applied Cryptography并阅读第一部分“加密协议(protocol)”。即使不深入了解实际加密的数学，这也会让您很好地概述该领域的各种设计模式。