java - 存储 AES 加密 key 的最佳方式是什么？

Question

我们将 Tomcat 用于我们的 Java Web 应用程序。 WEB-INF 文件夹下有一个属性文件。

AES 加密将用于生成 key 和加密密码。加密后的密码将存储在属性文件中。加密 key 应该存储在哪里？将 key 和加密密码放在同一个属性文件中是个好主意吗？还是应该将 key 存储在“webapps”目录之外？

Answer 1

在 Windows 上，您可以使用注册表和 DPAPI。使用注册表确实很糟糕，但如果您想获得绝对的安全性并利用操作系统来存储有值(value)的数据，这将是一个必要的痛苦。

在其他 OS X 上，您可以使用钥匙串(keychain)。

在 Linux 上，我会使用文件权限来保护文件。

你的提议:

Is it a good idea to put the key and the encrypted password in the same properties file?

就像将钱存放在保险箱中，然后将密码写在便利贴上并贴在保险箱上。您所做的只是让窃贼感到不便，但并未增加任何有意义的安全级别。

如果属性文件足够安全，可以存放加密 key ，那么您可以在其中以明文形式存储密码。