password-encryption - 如何解决密码管理-配置密码

Question

嗨，我正在使用HP fortify查找我的App的所有漏洞，现在我正尝试解决一个看似基本的问题，但我无法做到。

问题与配置中的密码有关。我有一个Web应用程序，并且在它的属性文件中有类似这样的内容。

somePassword=passwordPlainText

我同意这是错误的，然后我尝试使用 http://www.jasypt.org/encrypting-configuration.html，OBS，CRYPT和ENC类型的几种方法进行混淆。但是，当我扫描代码时，我总是会从设防收到相同的警告。难道我做错了什么？

谢谢

Answer 1

您可能会发现以下答案很有帮助。我假设这可能是数据库密码，但是相同的概念适用于访问其他类型的帐户。

https://security.stackexchange.com/questions/22817/how-to-encrypt-database-connection-credentials-on-a-web-server

基本原则是您要避免凭据的意外泄漏，因此请将其放置在代码外部(所有开发人员都可以看到)的位置以及主代码根目录之外且受到访问控制的配置文件中。理想情况下，可以根据用户权限正确配置数据库访问权限，从而完全避免使用密码。

注意:Fortify基本上通过grepping查找“password”(和某些变体)的密码问题。因此，在其他情况下，如果您仅具有一个名为“password”的变量或提及“password”的注释，但又不将密码硬编码到文件中，则这是假阳性。