java - 记住密码

Question

我目前正在开发一个项目，需要对用户的文件进行加密。这部分我通过使用Java的内置密码学库轻松实现。从磁盘加载文件的方法是从附加文件中读取加盐，让用户输入密码，然后生成加盐和散列 key ，然后快速处理该 key 。但是，当将文件保存回磁盘时，就会出现问题，因为我需要在整个运行时将 key 保留在内存中，或者每次将文件写入磁盘时都让用户输入密码。为了尽可能保证我的应用程序的安全，您有什么建议。

Answer 1

为了尽可能安全，您的用户应该再次输入密码。然而，您实际上需要查看用例并决定要防御什么。

例如，如果他们必须再次输入密码，那么他们就更容易受到肩窥或键盘记录器等的攻击，但增加的风险非常小。

保存在内存中的密码仅容易受到运行该软件的计算机上已经运行的进程的攻击。这又是一个相当小的风险，因为对他们来说，安装键盘记录器可能会更容易。

实际上，在这种情况下，主要的风险因素是人。有人可以欺骗输入密码的人来泄露密码(即鱼叉钓鱼、虚假登录提示、键盘记录器、肩窥)。减轻大部分风险的关键在于培训，而不是技术问题。

太多人认为技术 Elixir 可以解决他们所有的安全问题。确实不能，系统的安全性取决于其最薄弱的环节，您需要考虑大局和小局。