Java首選項本地安全存儲

Question

我正在尋找一個在Java客戶端應用程序中存儲密碼的安全過程。 我將使用Preferences API來存儲數據客戶端。

我希望我的客戶能夠存儲登錄信息（登錄名和密碼）以加快下次登錄。 我不想保持密碼清晰，所以我會加密它。 客戶端/服務器通信是通過SSL建立的，因此我可以在服務器端存儲密鑰。

我的第一個主張是，在成功登錄后，服務器向客戶端發送密鑰以加密密碼然后存儲它。 然后在下一個會話打開時，客戶端將其最后一個會話ID發送回通過解密密鑰應答的服務器。

這可能是使用私鑰/公鑰或只使用一個密鑰。

我認為它不安全，因為會話ID將被清楚地存儲，所以任何人都可以解密密碼......

任何命題，必須有一個經典的過程...？

提前致謝 ！

Answer 1

沒辦法，真的。 您希望計算機記住一個秘密，以便用戶不必與系統交互以進行身份​​驗證。 您可以加密密碼並自動解密，但這仍然可以用於機器上的信息。 有權訪問本地存儲的攻擊者將能夠回放您實施的任何方案並檢索密碼。

一種妥協是一種鑰匙串系統，其中用戶的所有存儲密碼都是由用戶在登錄時產生的主密碼加密的，因此他只需要記住一個密碼。 但這超出了單個應用程序的范圍。