搜索

[19601] 2020-04-23_经验分享丨JAVA审计中常见的加密错误，你知道几个？

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2020-04-23_经验分享丨JAVA审计中常见的加密错误，你知道几个？ 经 验 分 享 丨 J A V A 审 计 中 常 见 的 加 密 错 误 ， 你 知 道 几 个 ？ i 春 秋   2 0 2 0 - 0 4 - 2 3 在 代 码 审 计 中 ， 经 常 会 发 现 开 发 人 员 由 于 密 码 学 知 识 的 欠 缺 ， 造 成 安 全 函 数 误 用 。 本 文 是 i 春 秋 论 坛 作 者 「 精 通 l i n u x 开 关 机 」 表 哥 发 布 的 文 章 ， 汇 总 了 J A V A 审 计 中 常 见 的 加 密 错 误 ， 希 望 对 各 位 学 习 有 所 帮 助 。 注 ： 公 众 号 旨 在 为 大 家 提 供 更 多 的 学 习 方 法 与 技 能 技 巧 ， 文 章 仅 供 学 习 参 考 。 如 果 在 业 务 中 安 全 函 数 误 用 ， 通 常 是 因 为 逻 辑 设 计 得 不 够 清 晰 ， 会 造 成 相 关 安 全 措 施 失 效 ， 进 而 导 致 业 务 存 在 安 全 隐 患 ， 工 作 中 也 遇 到 过 开 发 人 员 将 R S A 公 钥 和 私 钥 弄 混 而 影 响 工 作 进 度 的 情 况 。 作 为 安 全 人 员 ， 如 果 仅 仅 告 诉 开 发 人 员 哪 些 事 情 不 能 做 ， 开 发 人 员 常 会 反 驳 说 安 全 让 可 行 的 事 情 变 得 不 可 行 ， 安 全 并 不 是 单 纯 地 增 加 开 发 人 员 的 工 作 负 担 。 业 务 逻 辑 业 务 逻 辑 本 文 主 题 围 绕 J A V A 审 计 展 开 ， 关 于 逻 辑 漏 洞 利 用 的 手 法 不 展 开 ， 如 果 感 兴 趣 可 以 百 度 了 解 D e d e C M S - V 5 . 7 密 码 重 置 漏 洞 ， 语 言 不 同 但 手 法 相 似 。 代 码 逻 辑 代 码 逻 辑 硬 编 码 加 密 密 钥 硬 编 码 加 密 密 钥
相 信 广 大 开 发 人 员 都 干 过 硬 编 码 密 钥 的 事 情 ， 硬 编 码 密 码 常 出 现 在 代 码 中 或 是 程 序 依 赖 的 外 部 资 源 （ 如 ： 配 置 文 件 ） 中 。 这 时 一 旦 被 反 编 译 ， 密 钥 就 存 在 泄 漏 的 风 险 。 典 型 错 误 例 子 ： 解 决 办 法 ： 如 果 只 是 几 条 密 钥 ， 可 以 将 其 保 存 在 配 置 文 件 中 ， 建 议 保 存 在 数 据 库 中 ， 同 时 连 接 数 据 库 的 密 码 需 要 加 密 ， 加 密 数 据 库 密 码 的 密 钥 硬 编 码 到 项 目 文 件 中 （ 如 ： S p r i n g   b o o t 的 a p p l i c a t i o n . p r o p e r t i e s ） ， 这 样 做 的 原 理 是 不 需 要 确 保 多 个 密 钥 ( C E K ) 的 机 密 性 ， 而 只 需 要 确 保 一 个 密 钥 ( K E K ) 的 机 密 性 就 可 以 了 。 这 和 认 证 机 构 的 层 级 化 非 常 相 似 。 初 始 化 向 量 为 固 定 值 初 始 化 向 量 为 固 定 值 这 个 错 误 A p p l e 公 司 也 犯 过 ， A p p l e A P I 告 诉 开 发 者 初 始 向 量 是 可 选 的 （ 这 显 然 有 安 全 隐 患 ） ， 另 外 如 果 它 没 有 提 供 初 始 向 量 ， 则 使 用 全 部 是 0 的 向 量 来 替 代 。 初 始 向 量 通 常 缩 写 成 I V 。 这 个 问 题 常 常 出 现 在 密 码 分 组 链 接 模 式 （ C B C 模 式 ） 加 密 中 。 C B C 模 式 采 用 硬 编 码 初 始 向 量 的 方 式 ， 一 般 初 始 向 量 的 所 有 元 素 是 由 0 填 充 。 每 一 次 加 密 都 使 用 相 同 的 初 始 向 量 而 非 使 用 随 机 I V ， 则 结 果 密 码 可 预 测 性 会 高 得 多 ， 容 易 受 到 字 典 式 攻 击 。 典 型 错 误 例 子 ： D r i v e r M a n a g e r . g e t C o n n e c t i o n ( u r l ,   " s c o t t " ,   " t i g e r " ) ; a p p l i c a t i o n . p r o p e r t i e s s p r i n g . d a t a s o u r c e . d r i v e r - c l a s s - n a m e = c o m . m y s q l . c j . j d b c . D r i v e r s p r i n g . d a t a s o u r c e . u r l = j d b c : m y s q l : / / 1 7 2 . 1 6 . 9 9 . 9 9 : 3 3 0 6 / d b k z j ? c h a r a c t e r E n c o d i n g = u t f - 8 s p r i n g . d a t a s o u r c e . u s e r n a m e = r o o t s p r i n g . d a t a s o u r c e . p a s s w o r d = E N C ( U G F T m e t + P x u h y v l O Q b P J G R C V y 7 m T B r P w ) b y t e [ ]   D E S I V   =   { 0 x 1 2 , 0 x 3 4 , 0 x 5 6 , 0 x 7 8 , ( b y t e ) 0 x 9 0 , ( b y t e ) 0 x A B , ( b y t e ) 0 x C D , ( b y t e ) 0 x E F } ; I v P a r a m e t e r S p e c   i v 1   =   n e w   I v P a r a m e t e r S p e c ( D E S I V ) ; / /   设 置 向 量
解 决 办 法 ： 传 入 随 机 数 种 子 ， 随 机 产 生 初 始 化 向 量 。 电 码 本 工 作 模 式 电 码 本 工 作 模 式 当 你 使 用 分 组 密 码 加 密 ， 例 如 高 级 加 密 标 准 （ A E S ） ， 你 应 该 选 择 一 个 分 组 密 码 的 工 作 模 式 。 你 能 选 择 的 最 糟 糕 的 工 作 模 式 是 E B C 模 式 （ 它 的 实 现 最 简 单 ， 运 行 速 度 最 快 ） ， 它 令 人 印 象 深 刻 的 是 ， 重 复 的 明 文 将 会 产 生 重 复 的 密 文 。 典 型 错 误 例 子 ： 解 决 办 法 ： 对 明 文 格 式 有 特 殊 要 求 的 环 境 ， 可 选 用 C F B 模 式 ， 无 要 求 用 C B C 模 式 。 使 用 C B C 模 式 时 必 须 传 入 I V 参 数 ， 用 前 面 的 例 子 ， 使 用 I v P a r a m e t e r S p e c 创 建 i v 对 象 。 S e c u r e R a n d o m   s e c u r e R a n d o m   =   n e w   S e c u r e R a n d o m ( ) ; b y t e [ ]   i v   =   s e c u r e R a n d o m . g e n e r a t e S e e d ( 1 6 ) ; I v P a r a m e t e r S p e c   i v 1   =   n e w   I v P a r a m e t e r S p e c ( i v ) ; b y t e [ ]   D E S I V 1   =   i v 1 . g e t I V ( ) ; / / 获 取 初 始 化 向 量 1 b y t e [ ]   D E S I V 2   =   i v 2 . g e t I V ( ) ; / / 获 取 初 始 化 向 量 2 S e c r e t K e y S p e c   k e y   =   n e w   S e c r e t K e y S p e c ( g e t K e y ( d e c r y p t K e y ) ,   " D E S " ) ; C i p h e r   c i p h e r   =   C i p h e r . g e t I n s t a n c e ( " D E S / E C B / N o P a d d i n g " ) ; c i p h e r . i n i t ( C i p h e r . D E C R Y P T _ M O D E ,   k e y ) ; / / D E S 对 称 E C B 模 式 加 密 b y t e   d e c r y p t e d D a t a [ ]   =   c i p h e r . d o F i n a l ( C o n v e r t U t i l . h e x S t r i n g T o B y t e ( d e c r y p t S t r i n g ) ) ; r e s u l t   =   n e w   S t r i n g ( d e c r y p t e d D a t a ) ;
不 安 全 的 加 密 算 法 不 安 全 的 加 密 算 法 不 得 不 提 M D 5 ， M D 5 在 1 0 年 前 已 被 破 解 ， 在 I D E A 中 使 用 M D 5 会 产 生 警 告 ， 但 是 部 分 安 全 意 识 淡 薄 的 开 发 还 会 认 为 M D 5 是 安 全 的 。 除 了 M D 5 还 有 D E S 、 3 D E S 、 R C 4 ( 弱 的 流 密 码 ) 、 R C 5 。 其 中 R C 4 最 常 用 于 无 线 路 由 器 W E P 加 密 ( 2 0 1 0 年 以 前 的 路 由 器 ) ， 因 为 R C 4 密 码 存 在 缺 陷 ， 利 用 R C 4 中 的 统 计 偏 差 ， 导 致 可 对 加 密 信 息 中 的 一 些 伪 随 机 字 节 能 进 行 猜 测 。 只 要 收 集 到 数 量 足 够 多 的 通 信 数 据 包 即 可 破 解 密 码 ( 在 密 集 发 包 的 W I F I 环 境 下 1 5 分 钟 即 可 完 成 破 解 ) 。 典 型 错 误 例 子 ： 解 决 办 法 ： 不 要 使 用 M D 5 、 S H A 1 等 过 时 的 算 法 ， 用 S H A - 2 5 6 和 S H A - 5 1 2 等 强 算 法 。 . . . S e c r e t K e y S p e c   k e y   =   n e w   S e c r e t K e y S p e c ( g e t K e y ( d e c r y p t K e y ) ,   " D E S " ) ; C i p h e r   c i p h e r   =   C i p h e r . g e t I n s t a n c e ( " A E S / C B C / P K C S 5 P a d d i n g " ) ; b y t e [ ]   i v   =   s e c u r e R a n d o m . g e n e r a t e S e e d ( 1 6 ) ; I v P a r a m e t e r S p e c   i v 1   =   n e w   I v P a r a m e t e r S p e c ( i v ) ; b y t e [ ]   D E S I V 1   =   i v 1 . g e t I V ( ) ; / / 获 取 初 始 化 向 量 1 c i p h e r . i n i t ( C i p h e r . D E C R Y P T _ M O D E ,   k e y , D E S I V 1 ) ; / / D E S 对 称 C B C 模 式 加 密 b y t e   d e c r y p t e d D a t a [ ]   =   c i p h e r . d o F i n a l ( C o n v e r t U t i l . h e x S t r i n g T o B y t e ( d e c r y p t S t r i n g ) ) ; r e s u l t   =   n e w   S t r i n g ( d e c r y p t e d D a t a ) ; . . . M e s s a g e D i g e s t   m d   =   M e s s a g e D i g e s t . g e t I n s t a n c e ( " M D 5 " ) ;   / / M D 5 m d . u p d a t e ( p a s s w o r d T o H a s h . g e t B y t e s ( ) ) ; b y t e [ ]   b y t e s   =   m d . d i g e s t ( ) ; S t r i n g B u i l d e r   s b   =   n e w   S t r i n g B u i l d e r ( ) ; f o r ( i n t   i = 0 ;   i <   b y t e s . l e n g t h   ; i + + ) { s b . a p p e n d ( I n t e g e r . t o S t r i n g ( ( b y t e s [ i ]   &   0 x f f )   +   0 x 1 0 0 ,   1 6 ) . s u b s t r i n g ( 1 ) ) ; } g e n e r a t e d P a s s w o r d   =   s b . t o S t r i n g ( ) ;
密 钥 长 度 太 短 密 钥 长 度 太 短 密 钥 长 度 太 短 是 特 指 非 对 称 秘 钥 。 开 发 人 员 常 常 会 有 疑 问 ， 密 码 和 加 密 秘 钥 之 间 有 什 么 区 别 ？ 密 码 长 度 不 一 ， 密 钥 长 度 固 定 ， 并 且 通 常 密 钥 复 杂 度 更 高 包 含 不 可 打 印 字 符 。 密 钥 的 熵 值 比 前 者 高 得 多 。 回 到 密 钥 长 度 太 短 上 ， 通 常 开 发 人 员 在 选 择 对 称 加 密 的 密 钥 长 度 上 基 本 会 选 1 2 8 位 以 上 的 。 错 误 发 生 在 选 择 非 对 称 加 密 的 密 钥 长 度 上 ， 在 R S A 、 D A S 、 D H 和 相 似 的 算 法 中 ， 像 R S A 这 种 大 数 分 解 的 密 钥 长 度 即 使 到 达 5 1 2 位 也 是 不 安 全 的 ， 1 0 2 4 或 2 0 4 8 位 才 是 主 流 。 椭 圆 曲 线 E C C 可 以 用 短 密 钥 ， 有 很 好 的 发 展 空 间 ， 但 是 目 前 开 发 人 员 仍 不 愿 意 尝 试 用 椭 圆 曲 线 的 算 法 。 典 型 错 误 例 子 ： 解 决 办 法 ： 将 密 钥 大 小 调 为 2 0 4 8 位 ， 或 用 更 先 进 的 椭 圆 曲 线 E C C 加 密 算 法 ， 其 密 钥 长 度 只 有 2 5 6 位 长 度 ， 只 有 R S A 加 密 算 法 同 等 加 密 强 度 的 密 钥 长 度 ( 3 0 7 2 位 ) ， 运 算 速 度 更 快 ， 更 安 全 。 M e s s a g e D i g e s t   m d   =   M e s s a g e D i g e s t . g e t I n s t a n c e ( " S H A - 2 5 6 " ) ; / / S H A - 2 5 6 m d . u p d a t e ( p a s s w o r d T o H a s h . g e t B y t e s ( ) ) ; b y t e [ ]   b y t e s   =   m d . d i g e s t ( ) ; S t r i n g B u i l d e r   s b   =   n e w   S t r i n g B u i l d e r ( ) ; f o r ( i n t   i = 0 ;   i <   b y t e s . l e n g t h   ; i + + ) { s b . a p p e n d ( I n t e g e r . t o S t r i n g ( ( b y t e s [ i ]   &   0 x f f )   +   0 x 1 0 0 ,   1 6 ) . s u b s t r i n g ( 1 ) ) ; } K e y P a i r G e n e r a t o r   k e y P a i r G e n   =   K e y P a i r G e n e r a t o r . g e t I n s t a n c e ( " R S A " ) ;     / / 基 于 R S A 算 法 生 成 对 象 k e y P a i r G e n . i n i t i a l i z e ( 2 5 6 , n e w   S e c u r e R a n d o m ( ) ) ;     / / 密 钥 大 小 为 9 6 - 4 0 9 6 位 K e y P a i r   k e y P a i r   =   k e y P a i r G e n . g e n e r a t e K e y P a i r ( ) ;     / /   生 成 一 个 密 钥 对 ， 保 存 在 k e y P a i r 中     R S A P r i v a t e K e y   p r i v a t e K e y   =   ( R S A P r i v a t e K e y )   k e y P a i r . g e t P r i v a t e ( ) ;       / /   得 到 私 钥     R S A P u b l i c K e y   p u b l i c K e y   =   ( R S A P u b l i c K e y )   k e y P a i r . g e t P u b l i c ( ) ;     / /   得 到 公 钥     S t r i n g   p u b l i c K e y S t r i n g   =   n e w   S t r i n g ( B a s e 6 4 . e n c o d e B a s e 6 4 ( p u b l i c K e y . g e t E n c o d e d ( ) ) ) ;     S t r i n g   p r i v a t e K e y S t r i n g   =   n e w   S t r i n g ( B a s e 6 4 . e n c o d e B a s e 6 4 ( ( p r i v a t e K e y . g e t E n c o d e d ( ) ) ) ) ; k e y M a p . p u t ( 0 , p u b l i c K e y S t r i n g ) ;     / / 0 表 示 公 钥 k e y M a p . p u t ( 1 , p r i v a t e K e y S t r i n g ) ;     / / 1 表 示 私 钥
不 安 全 的 随 机 数 不 安 全 的 随 机 数 如 果 开 发 安 全 意 识 淡 薄 ， 使 用 j a v a . u t i l . R a n d o m 类 生 成 一 个 W e b 应 用 程 序 的 会 话 标 记 。 我 已 获 得 会 话 标 记 ， 那 么 可 以 预 测 下 一 个 用 户 和 前 一 个 用 户 的 会 话 标 记 进 而 劫 持 他 们 的 会 话 。 典 型 错 误 例 子 ： 解 决 办 法 ： 使 用 S e c u r e R a n d o m 类 产 生 会 话 标 记 ， 种 子 很 重 要 ， 不 要 设 置 特 定 值 作 为 种 子 。 这 里 2 ^ 3 2 中 可 能 的 会 话 标 记 ( 有 4 0 多 亿 ) ， 同 时 注 意 不 要 截 取 r e s u l t ， 过 短 可 能 被 爆 破 t o k e n 。 K e y P a i r G e n e r a t o r   k e y P a i r G e n e r a t o r   =   K e y P a i r G e n e r a t o r . g e t I n s t a n c e ( E C C E n u m . A L G O R I T H M . v a l u e ( ) ,                                 E C C E n u m . P R O V I D E R . v a l u e ( ) ) ; k e y P a i r G e n e r a t o r . i n i t i a l i z e ( 2 5 6 ,   n e w   S e c u r e R a n d o m ( ) ) ; / /   这 里 是 椭 圆 曲 线 只 有 2 5 6 位 长 度 。 K e y P a i r   k p   =   k e y P a i r G e n e r a t o r . g e n e r a t e K e y P a i r ( ) ; E C P u b l i c K e y   p u b l i c K e y   =   ( E C P u b l i c K e y )   k p . g e t P u b l i c ( ) ; E C P r i v a t e K e y   p r i v a t e K e y   =   ( E C P r i v a t e K e y )   k p . g e t P r i v a t e ( ) ; M a p < S t r i n g , S t r i n g >   m a p   =   n e w   H a s h M a p < > ( ) ; m a p . p u t ( E C C E n u m . P R I V A T E _ K E Y . v a l u e ( ) ,   B A S E 6 4 E n c o d e r . e n c o d e B u f f e r ( p r i v a t e K e y . g e t E n c o d e d ( ) ) ) ; m a p . p u t ( E C C E n u m . P U B L I C _ K E Y . v a l u e ( ) ,   B A S E 6 4 E n c o d e r . e n c o d e B u f f e r ( p u b l i c K e y . g e t E n c o d e d ( ) ) ) ; S t r i n g   t o k e n   =   ( n e w   R a n d o m ( ) . n e x t I n t ( 9 9 9 9 9 ) )   +   " " ;     M e s s a g e D i g e s t   m d   =   M e s s a g e D i g e s t . g e t I n s t a n c e ( " m d 5 " ) ;     b y t e   m d 5 [ ]   =     m d . d i g e s t ( t o k e n . g e t B y t e s ( ) ) ;     B A S E 6 4 E n c o d e r   e n c o d e r   =   n e w   B A S E 6 4 E n c o d e r ( ) ;     r e s u l t   =   e n c o d e r . e n c o d e ( m d 5 ) ;    
自 定 义 加 密 算 法 自 定 义 加 密 算 法 密 码 学 中 一 个 无 漏 洞 的 密 钥 系 统 的 安 全 性 只 取 决 于 其 所 采 取 的 密 钥 强 度 ， 不 依 赖 于 其 实 现 的 细 节 ， 事 实 上 加 密 流 程 是 公 开 的 。 在 一 些 产 品 的 激 活 流 程 中 ， 我 常 看 到 自 定 义 加 密 算 法 的 身 影 。 这 些 自 定 义 加 密 算 法 基 本 都 有 一 个 特 点 ， 过 多 地 需 要 保 密 内 部 的 实 现 细 节 ， 一 旦 流 程 和 处 理 细 节 被 曝 光 ， 这 种 加 密 方 式 将 可 被 攻 击 者 通 过 流 程 总 结 出 公 式 计 算 出 来 。 典 型 错 误 例 子 ： 解 决 办 法 ： 不 要 靠 内 部 隐 蔽 细 节 来 实 现 安 全 ， 要 将 安 全 转 移 到 密 钥 的 安 全 强 度 上 ， 建 议 使 用 非 对 称 密 码 体 系 完 成 产 品 激 活 ， 例 如 N a v i c a t 的 激 活 （ 使 用 R S A ） 。 S t r i n g B u i l d e r   b u f   =   n e w   S t r i n g B u i l d e r ( ) ; S e c u r e R a n d o m   s r   =   n e w   S e c u r e R a n d o m ( ) ; f o r (   i n t   i = 0 ;   i < 6 ;   i + +   )   { / /   l o g 2 ( 5 2 ^ 6 ) = 3 4 . 2 0 . . .   s o ,   t h i s   i s   a b o u t   3 2 b i t   s t r o n g .                 b o o l e a n   u p p e r   =   s r . n e x t B o o l e a n ( ) ;                 c h a r   c h   =   ( c h a r ) ( s r . n e x t I n t ( 2 6 )   +   ' a ' ) ;                 i f ( u p p e r )       c h = C h a r a c t e r . t o U p p e r C a s e ( c h ) ;                 b u f . a p p e n d ( c h ) ; } r e s u l t   =   b u f . t o S t r i n g ( ) ; S t r i n g   A C T I V E C O D E _ R A W   =   " 2 0 2 0 - 0 4 - 2 1 "   +   " W W W . H A C K E R . C O M " ;     M e s s a g e D i g e s t   m d   =   M e s s a g e D i g e s t . g e t I n s t a n c e ( " m d 5 " ) ;     b y t e   m d 5 [ ]   =     m d . d i g e s t ( A C T I V E C O D E _ R A W . g e t B y t e s ( ) ) ;     B A S E 6 4 E n c o d e r   e n c o d e r   =   n e w   B A S E 6 4 E n c o d e r ( ) ;     r e s u l t _ A C T I V E C O D E   =   e n c o d e r . e n c o d e ( m d 5 ) ;    
开 发 人 员 绕 过 二 次 验 证 开 发 人 员 绕 过 二 次 验 证 这 种 行 为 让 安 全 人 员 哭 笑 不 得 ， 开 发 人 员 为 了 省 事 ， 密 码 验 证 居 然 采 用 了 复 制 的 方 式 。 典 型 错 误 例 子 ： 解 决 办 法 ： 不 要 省 事 ， 老 老 实 实 接 收 参 数 完 成 赋 值 。 过 于 广 泛 的 信 任 证 书 过 于 广 泛 的 信 任 证 书 即 使 有 C A 签 名 的 证 书 也 不 应 该 信 任 ， 证 书 颁 发 机 构 （ C A ） 为 每 个 公 开 密 钥 发 放 一 个 数 字 证 书 ， 证 书 对 于 通 用 网 络 通 信 工 具 是 必 需 的 ， 而 盗 用 证 书 颁 发 机 构 的 数 量 正 在 不 断 增 加 ， 这 导 致 即 使 由 C A 签 名 的 证 书 也 可 能 是 恶 意 的 。 当 程 序 默 认 接 受 由 C A 颁 发 的 证 书 而 屏 蔽 了 安 全 校 验 逻 辑 ， 拥 有 盗 用 证 书 的 攻 击 者 可 能 会 拦 截 这 些 C A 的 S S L / T L S 信 息 流 进 行 中 间 人 攻 击 。 典 型 错 误 例 子 ： b y t e [ ]   k e y B y t e s   =   B a s e 6 4 U t i l s . d e c o d e ( p u b l i c K e y ) ; X 5 0 9 E n c o d e d K e y S p e c   k e y S p e c   =   n e w   X 5 0 9 E n c o d e d K e y S p e c ( k e y B y t e s ) ; K e y F a c t o r y   k e y F a c t o r y   =   K e y F a c t o r y . g e t I n s t a n c e ( K E Y _ A L G O R I T H M ) ; P u b l i c K e y   p u b l i c K   =   k e y F a c t o r y . g e n e r a t e P u b l i c ( k e y S p e c ) ; S i g n a t u r e   s i g n a t u r e   =   S i g n a t u r e . g e t I n s t a n c e ( S I G N A T U R E _ A L G O R I T H M ) ; s i g n a t u r e . i n i t V e r i f y ( p u b l i c K ) ; s i g n a t u r e . u p d a t e ( d a t a ) ; r e t u r n   s i g n a t u r e . v e r i f y ( B a s e 6 4 U t i l s . d e c o d e ( s i g n ) ) ; S t r i n g   p a s s w o r d = r e q u e s t . g e t P a r a m e t e r ( " p a s s w o r d " ) ; D e f a u l t U s e r   u s e r   =   ( D e f a u l t U s e r )   E S A P I . a u t h e n t i c a t o r ( ) . c r e a t e U s e r ( u s e r n a m e ,   p a s s w o r d ,   p a s s w o r d ) ; S t r i n g   p a s s w o r d = r e q u e s t . g e t P a r a m e t e r ( " p a s s w o r d " ) ; S t r i n g   c o n f i r m p a s s w o r d = r e q u e s t . g e t P a r a m e t e r ( " c o n f i r m p a s s w o r d " ) ; D e f a u l t U s e r   u s e r   =   ( D e f a u l t U s e r )   E S A P I . a u t h e n t i c a t o r ( ) . c r e a t e U s e r ( u s e r n a m e ,   p a s s w o r d ,   c o n f i r m p a s s w o r d ) ;
解 决 办 法 ： 不 要 直 接 使 用 默 认 的 U R L C o n n e c t i o n   建 立 S S L / T L S 连 接 ， 建 议 使 用 H t t p s U R L C o n n e c t i o n   进 行 替 代 ， 并 对 证 书 进 行 判 断 和 处 理 。 P B E ( 基 于 密 码 的 加 密 基 于 密 码 的 加 密 ) 用 于 使 用 密 码 加 密 数 据 用 于 使 用 密 码 加 密 数 据 P B E 加 密 跳 出 了 D E S 和 A E S 的 加 密 模 式 , 综 合 对 称 加 密 、 信 息 摘 要 算 法 的 优 势 , 形 成 了 一 个 对 称 加 密 的 特 例 。 但 是 使 用 其 他 一 定 要 注 意 迭 代 次 数 ， 如 果 P B E 迭 代 次 数 过 少 （ 少 于 1 千 次 ） ， 会 增 加 被 攻 击 的 可 能 性 。 典 型 错 误 例 子 ： 解 决 办 法 ： P B E 使 用 P B E P a r a m e t e r S p e c 时 ， 应 使 用 非 常 量 s a l t ， 至 少 迭 代 1 0 0 0 次 。 使 用   P B E K e y S p e c 时 ， 应 使 用 非 常 量 s a l t ， 至 少 迭 代 1 0 0 0 0 次 。 U R L   u r l   =   n e w   U R L ( " h t t p s : / / w w w . A B C . c o m " ) ; U R L C o n n e c t i o n   u r l C o n n e c t i o n   =   u r l . o p e n C o n n e c t i o n ( ) ; I n p u t S t r e a m   i n p u t S t r e a m   =   u r l C o n n e c t i o n . g e t I n p u t S t r e a m ( ) ; S S L C o n t e x t   s s l C o n t e x t   =   S S L C o n t e x t . g e t I n s t a n c e ( " T L S " ) ; s s l C o n t e x t . i n i t ( n u l l ,   t r u s t M a n a g e r s ,   n e w   S e c u r e R a n d o m ( ) ) ; U R L   u r l   =   n e w   U R L ( " h t t p s : / / w w w . A B C . c o m " ) ; H t t p s U R L C o n n e c t i o n   h t t p s U R L C o n n e c t i o n   =   ( H t t p s U R L C o n n e c t i o n ) u r l . o p e n C o n n e c t i o n ( ) ; h t t p s U R L C o n n e c t i o n . s e t S S L S o c k e t F a c t o r y ( s s l C o n t e x t . g e t S o c k e t F a c t o r y ( ) ) ; I n p u t S t r e a m   i n p u t S t r e a m   =   h t t p s U R L C o n n e c t i o n . g e t I n p u t S t r e a m ( ) ; f i n a l   i n t   S A L T _ C O U N T   =   5 0 ; K e y   k   =   s t r i n g T o K e y ( k e y ) ; P B E P a r a m e t e r S p e c   p a r a m e t e r S p e c   =   n e w   P B E P a r a m e t e r S p e c ( s a l t ,   S A L T _ C O U N T ) ;     C i p h e r   c i p h e r   =   C i p h e r . g e t I n s t a n c e ( K E Y _ P B E ) ;     c i p h e r . i n i t ( C i p h e r . E N C R Y P T _ M O D E ,   k ,   p a r a m e t e r S p e c ) ;
总 结 总 结 代 码 审 计 可 以 拉 近 开 发 与 安 全 人 员 的 关 系 ， 安 全 人 员 提 供 给 开 发 人 员 更 好 用 的 加 密 A P I ， 同 时 教 会 开 发 人 员 正 确 使 用 ， 这 是 安 全 工 程 师 必 须 具 备 的 工 作 技 能 。 细 化 后 主 要 有 以 下 三 点 ： 1 、 保 证 这 个 A P I 能 够 加 密 功 能 更 简 单 ； 2 、 保 证 这 些 A P I 在 默 认 的 情 况 下 是 安 全 的 ； 3 、 文 档 应 该 非 常 清 晰 的 记 录 可 能 会 发 生 的 问 题 。 微 软 的 C # 语 言 在 这 方 面 做 得 比 J A V A 好 很 多 ， 希 望 广 大 J A V A 开 发 人 员 工 作 中 多 注 意 安 全 编 码 技 能 的 提 高 。 文 章 素 材 来 源 于 i 春 秋 社 区 （ 微 信 升 级 最 新 版 本 即 可 使 用 ） 新 来 的 朋 友 如 果 想 要 了 解 其 他 的 必 备 技 能 和 实 用 工 具 ， 可 以 点 击 菜 单 栏 中 的 入 门 锦 囊 查 看 相 关 内 容 ： f i n a l   i n t   S A L T _ C O U N T   =   1 0 0 0 0 0 ; K e y   k   =   s t r i n g T o K e y ( k e y ) ; P B E P a r a m e t e r S p e c   p a r a m e t e r S p e c   =   n e w   P B E P a r a m e t e r S p e c ( s a l t ,   S A L T _ C O U N T ) ;     C i p h e r   c i p h e r   =   C i p h e r . g e t I n s t a n c e ( K E Y _ P B E ) ;     c i p h e r . i n i t ( C i p h e r . E N C R Y P T _ M O D E ,   k ,   p a r a m e t e r S p e c ) ;
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理