java - 如何避免代码库中存在 keystore/trustore 纯文本密码？

Question

为了满足我们的内部安全要求，我编写了一个 Java 客户端，它使用证书与服务器进行相互身份验证。但是，为了将证书放入 SSLContext，我必须向 keystore 和信任库提供密码。代码中密码是明文，这也不符合我们的要求。

有什么方法可以避免在代码中使用纯文本形式的 keystore /信任库密码吗？我已经尝试过 Stack Overflow 上的答案，建议创建一个没有密码的存储和/或直接将证书加载到 SSLContext 中，但当我尝试这些方法时，身份验证失败。

Answer 1

通常，证书和信任库不包含必须保密的信息。必须保密的一件事是 keystore 中包含的私钥。使用密码保护 keystore 就像将 key 放入保险箱并用第二把 key 锁定该保险箱一样 - 所以它并没有真正的帮助。

无论如何，您可以从未 checkin VCS 的(资源)文件中读取密码，并将其留给部署来提供该文件(可以通过限制适当用户的读取访问权限来保护该文件)操作系统级别)。

但是当然，您也可以直接使用 keystore 来执行此操作 - 无需使用密码。

要求高的话可以看看Trusted Platform Module .

keystore 和信任库可以通过系统属性进行配置，因此可以根本不从源代码中处理它。