Wie speichert man Passwort-Hashes sicher im Speicher, wenn man Konten erstellt?

Question

Unsere webbasierten Anwendungen verfügen über Benutzerkonten, die an Benutzer mit den Kennwörtern gebunden sind, die bei der Kontoerstellung angegeben wurden. Im Fall von Java, wie verarbeitet man das Passwort sicher, bevor es seinen Hash in der Datenbank fortsetzt.

Um genauer zu sein, wie stellt man sicher, dass die Zeichenfolge, die das Passwort enthält, innerhalb eines ausreichend kurzen Zeitintervalls gesammelt wird?

Answer 1

Wenn Sie die Möglichkeit haben (kann in Webanwendungen schwierig sein), wäre es besser, Kennwörter in Zeichenfeldern zu speichern, als sie in Zeichenfolgen zu speichern. Wenn Sie das Passwort fertig zu speichern können Sie es im Speicher überschreiben, indem Array.fill() Verwendung und die Referenz für den Garbage Collector zur Verfügung stellen durch Verwerfen es:

Arrays.fill(password, ' '); 
password = null; 

Ich habe gerade bemerkt, dass das Passwort nulling ein bisschen paranoid sein würde, aber man kann tun, wenn es Sie beruhigt :)

Answer 2

Wenn Sie den Hash auf der Clientseite erstellen, sollten Sie über dieses Problem nicht nachdenken. Das Plain-Passwort wird niemals an den Server gesendet.

Answer 3

Zwei Wörter: Lokaler Bereich. Die deklarierten Variablen für die Passwortverarbeitung müssen den kleinstmöglichen Umfang haben.

Sobald die Variablen den Gültigkeitsbereich verlassen, sind die Objekte für die Garbage Collection geeignet.

Oft wählen Sie Dinge aus einer Anfrage. Sie möchten eine sehr, sehr kleine Transaktion, die die Anfrage akzeptiert, das Passwort hasht, persistiert und weiterleitet. Die Seite, auf die Sie umleiten, kann dann Inhalte abrufen und alle anderen Verarbeitungen ausführen, die Teil Ihrer Anwendung sind.

Answer 4

Es kann nicht garantiert werden, dass Klartextkennwörter aus dem Speicher in Java entfernt werden.

Ein Hacker benötigt jedoch keinen Zugriff auf den Speicher eines Programms, um Klartextpasswörter zu erhalten. Es gibt viel einfachere Möglichkeiten (z. B. das Sniffing der Pakete), so dass es höchst unwahrscheinlich ist, dass sich jemand auf diesen Ansatz verlässt.

Der beste Ansatz ist es, den Client das Passwort verschlüsseln zu lassen, wie @ Mork0075 suggeriert. Während es jedoch bedeutet, dass Sie das Passwort nicht ohne Weiteres erhalten, kann ein Programm immer noch die verschlüsselte Version von Passwörtern erhalten und so tun, als wäre es ein Benutzer. Ein Umweg ist das Verschlüsseln der gesamten Verbindung mit SSL.

All dies ist eher akademisch, da der einfachste Ansatz für einen Hacker ist, die Pakete auf die Datenbank zu überwachen und das Passwort für Ihre Datenbank zu erhalten. Ich vermute, dass der direkte Zugriff auf Ihre Datenbank problematischer ist ... oder vielleicht auch nicht. ;)

Answer 5

ein Passwort Herausforderung Verwendung:

1. Server wählt eine Herausforderung Wert und sendet sie an den Client-
2. Server führt eine 1-Wege-Übersetzung mit dem Passwort und der Herausforderung, ex. MD5(CONCAT(challenge, password)) und weist es der Sitzung zu.
3. Klartext-Passwort ist jetzt außerhalb des Bereichs und bereit für die Garbage Collection.
4. Client führt auch die gleiche Übersetzung durch und sendet das Ergebnis an den Server.
5. Wenn Server und Client denselben endgültigen Wert auswählen, wird der Client authentifiziert.

Diese Methode verhindert Replay-Attacken, erfordert aber die Wert Herausforderung sehr unberechenbar sein (random) und nicht oft (lang) wiederverwendet.

Das Nur-Text-Passwort ist nur während der Behandlung der ersten Verbindungsanforderung gültig - nicht während der Authentifizierung. Es spielt keine Rolle, wie lange das 1-way-Übersetzungsergebnis im Umfang ist (nicht Müll gesammelt), weil es einen geringen Wiederspielwert hat.

Answer 6

Sie verwenden keine Zeichenfolge. Sie verwenden ein Zeichen [] und überschreiben dann das Zeichen [], wenn Sie fertig sind.

Es gibt absolut keine Garantien, wenn es um Garbage Collection geht (abgesehen davon, dass der Finalizer ausgeführt wird, bevor das Objekt gesammelt wird). Der GC wird möglicherweise nie ausgeführt, wenn er ausgeführt wird, kann die Zeichenfolge, die das Kennwort enthält, niemals in GC angezeigt werden.