java - 加密代码中的字符串 (JAPH)

Question

我也不知道这是否可能。

场景:

我的代码中有一个用于 KeyStore 的主 key 。类似的东西

private static final char[] pwd = "password".toCharArray();

在反编译时我也必须保护我的“密码”。我的意思是，至少尝试拥有类似 JAPH 的东西

我完全知道让我的密码既安全又不可读是不可能的，但至少，我想尽可能地做到这一点。

Answer 1

第一种方法是将密码分发到单独的文件中，并在运行时通过 Properties API 读取它们。简单又容易。如果您添加一些 base64 编码，它将保护您免受脚本小子的侵害。发布源代码只会公开存储密码的方法。当然，代码和文件的泄漏仍然是问题。

第二种方法非常相似。将密码保存为环境变量并通过 System.env 读取它们。在这种情况下，要知道密码，攻击者需要访问操作系统才能读取密码。这使得事情变得有点复杂。

第三种方法是两步密码。使用第二种方法存储的第一个密码是包含主密码的 AES 加密文件的密码。

在我们的项目中我们使用第二种方法。如果代码泄漏(以某种方式)，它可以保护我们暴露密码，但是如果有人破坏服务器安全......那么我们将遇到比泄漏密码更严重的问题。

ps。你可以尝试玩 Honey Encription让事情变得更困难。攻击者不会知道他拥有有效的密码或只是看起来像的东西。