Sicherheit von Datenbankkennwörtern (und anderen wichtigen privaten Zeichenfolgen) in einer Java-Anwendung

Question

Wie Sie wissen, kann jeder mit einem Hex-Editor auf Zeichenfolgen in einer nativen Anwendung zugreifen.
In einer Java-Anwendung ist es möglich, die Bytecodes und Zugriffsfolgen und andere Dinge (wie Anwendungslogik) zu dekompilieren.
Wenn ich jetzt eine Verbindung zu einer Datenbank herstelle, wird mein Passwort in Anwendungsstrings gespeichert.
Wie kann ich diese Zeichenfolgen (Passwörter, ...) gegen Hex-Editoren schützen & Dekompilierung?

Dank

Answer 1

Nichts, was Sie für die Öffentlichkeit freizugeben ist privat. Es gibt kein Schutzschema, das ein ausreichend motivierter Angreifer nicht brechen kann. Wenn jemand einen hätte, würden sie Millionen machen, die es nach Hollywood verkaufen! (Viele Leute machen Millionen verkaufen diejenigen, die nicht funktionieren ...)

Sie haben drei grundlegende Optionen:

1) Entwerfen Sie die Datenbank mit Verfahren und Berechtigungen, so dass die direkte Anmeldung mit nicht erlauben Sie dem Benutzer, alles zu tun, was sie durch die Anwendung sowieso nicht hätten tun können.

2) Verknüpfen Sie Benutzerkonten mit Datenbankkonten und lassen Sie sich Benutzer mit ihrem eigenen Benutzernamen anmelden.

3) Legen Sie einen Anwendungsserver vor die Datenbank. Ihr Client stellt eine Verbindung zum Anwendungsserver her und ruft Servicemethoden darauf auf. Daher werden nur die Funktionen, die Sie auf dem App-Server bereitstellen, der Öffentlichkeit zugänglich gemacht. Dies ist die übliche Vorgehensweise.