In che modo una password di archivio si blocca in modo sicuro nella memoria, quando si creano gli account?

Question

Le nostre applicazioni basate sul web hanno account utente legati agli utenti con le password specificate durante la creazione dell'account. Nel caso di Java, come si processa la password in modo sicuro, prima di persistere nel suo hash nel database.

Per essere più specifici, come si fa a garantire che la stringa contenente la password venga raccolta in un intervallo di tempo sufficientemente breve?

Answer 1

Se si ha la possibilità (potrebbe essere difficile nelle applicazioni Web), sarebbe meglio memorizzare le password negli array di caratteri piuttosto che memorizzarle in stringhe. Se avete finito la memorizzazione della password è possibile sovrascrivere in memoria utilizzando Array.fill() e rendere il riferimento disponibile per il garbage collector scartando esso:

Arrays.fill(password, ' '); 
password = null; 

Ho appena notato che l'azzeramento del la password sarebbe un po 'paranoico, ma è possibile fare se rassicura voi :)

Answer 2

Se si crea l'hash sul lato client, non è necessario pensare a questo problema. La semplice password non viene mai inviata al server.

Answer 3

Due parole: ambito locale. Le variabili dichiarate per l'elaborazione della password devono avere l'ambito più piccolo possibile.

Una volta che le variabili escono dall'ambito, gli oggetti sono idonei per la garbage collection.

Spesso, stai raccogliendo le cose da una richiesta. Vuoi una transazione molto, molto piccola che accetta la richiesta, la password hash, lo persiste e reindirizza. La pagina verso cui si effettua il reindirizzamento può quindi recuperare il contenuto ed eseguire tutta l'elaborazione "altra" che fa parte dell'applicazione.

Answer 4

Non esiste alcun modo per garantire che le password di testo in chiaro vengano rimosse dalla memoria in Java.

Tuttavia un hacker non ha bisogno di accedere alla memoria di un programma per ottenere password di testo chiare. Ci sono modi molto più semplici (come ad esempio sniffare i pacchetti), quindi è altamente improbabile che qualcuno possa fare affidamento su questo approccio.

L'approccio migliore è far crittografare il client come @ suggerisce Mork0075. Tuttavia, mentre ciò significa che non è possibile ottenere facilmente la password, un programma può comunque ottenere la versione crittografata delle password e fingere così di essere un utente. Un modo per aggirare questo è crittografare l'intera connessione usando SSL.

Tutto questo è piuttosto accademico, poiché l'approccio più semplice per un hacker è quello di monitorare i pacchetti nel database e ottenere la password per il database. Sospetto che l'accesso diretto al tuo database sia più pertinente ... o forse non lo è. ;)

Answer 5

Utilizzare una sfida password

1. Server sceglie un valore sfida e lo invia al Cliente
2. Il server esegue una traduzione a 1 via con la password e la sfida, ad es. MD5(CONCAT(challenge, password)) e lo assegna alla sessione.
3. La password in testo semplice è ora fuori portata e pronta per la garbage collection.
4. Il client esegue anche la stessa traduzione e invia il risultato al server.
5. Se Server e Client scelgono lo stesso valore finale, il client viene autenticato.

Questo metodo impedisce attacchi di riproduzione, ma richiede il valore sfida essere molto imprevedibile (casuale) e spesso non riutilizzato (lungo).

La password di testo normale è disponibile solo durante la gestione della richiesta di connessione iniziale, non durante l'autenticazione. Non importa per quanto tempo il risultato della traduzione a 1 via è in ambito (non garbage collection) perché ha un piccolo valore di replay.

Answer 6

Non si utilizza una stringa. Si utilizza un carattere [] e quindi si sovrascrive il carattere [] al termine.

Non ci sono assolutamente garanzie quando si tratta di garbage collection (a parte il fatto che il finalizzatore verrà eseguito prima che l'oggetto venga raccolto). Il GC non può mai essere eseguito, se viene eseguito potrebbe mai GC String che contiene la password.