java - 当 keystore 密码与 key 本身一样容易受到攻击时，Java keystore (JKS、JCEKS)的意义何在？

Question

我有一些代码可以加密一些用户数据。目前，我将 key 存储在配置文件中，该配置文件在运行时加载。这很糟糕，原因有很多，也就是说，如果有人访问配置文件，他们就可以访问 key 。所以我开始研究 Java keystore ，但我似乎无法证明它们的合理性。 keystore 需要密码，这与对 key 进行硬编码一样容易受到攻击。我是否遗漏了什么，或者 key 存储是否与硬编码 key 一样存在同样的弱点？

Answer 1

通过使用 JKS 或任何 keystore ，您实际上迈出了将 key 保护要求从应用程序或服务器卸载到 keystore 或该 keystore 的用户的第一步。有很多用于保护 key 和 keystore 的指南，这些指南可能非常奇特(HSM 等)，但利用 JCE 架构只是第一步。与此同时，不妨开始将安全性融入您的应用程序中。

https://security.stackexchange.com/questions/11517/storage-of-secrets-keystores-hsms-and-the-rest