Windows 上智能卡的 Java keystore 和密码安全性

Question

http://docs.oracle.com/javase/6/docs/api/java/security/KeyStore.html

在下面的代码中，java 应用程序向用户请求密码:

KeyStore ks = KeyStore.getInstance(KeyStore.getDefaultType());

// get user password and file input stream
char[] password = getPassword();
java.io.FileInputStream fis =
    new java.io.FileInputStream("keyStoreName");
ks.load(fis, password);
fis.close();

这是否意味着应用程序可以获取我的数字证书密码(即使它位于智能卡上)并可能将其用于其他用途？

Answer 1

是的，另一个具有足够权限的应用程序可以从内存中读取密码的内容，或者在将密码输入键盘时窥探密码。

代码示例显示了存储为 char 数组的密码，这是推荐的做法。与不可变的 String 不同，使用密码后，此类数组可以重置为不同的值。这会最小化攻击窗口，但不会消除它。

一些智能卡制造商提供外部密码键盘设备，以确保密码直接传送到卡上。您可以考虑研究其中一种解决方案。