什么是隐藏长命密钥的最佳地点

Question

我正在考虑新的Sybase项目的加密选项。我认为Sybase加密是一种错误的策略，因为a）dba可以进入，b）如果当我们迁移到SQL Server或Oracle时，我不想处理不同的加密策略。

因此，我想在我的Java代码中加密敏感数据（对称加密），然后将其存储在数据库中。

现在，除非在一个非常受控制的环境中，加密的字段最好不要更改它们的加密密钥，对我而言，这对我而言意味着永远不会。所以这将是一个永久密码。

问题是，我应该在哪里保存该密码，以便可以从程序访问该密码但其他人无法访问该密码。如果它在一个属性文件中，任何有权访问我们的Git仓库的开发人员都可以看到它。

我们可以在源代码中对其进行硬编码，但是良好的规范性，这是一种不好的做法。

我们可以在源代码中生成它，如第10个Fibonacci或3！+8！这将很难找到，但它仍然相当暴露。

我们可以让sa在环境中保持它，但是他们在哪里提交它以供将来参考？

这么多糟糕的选择。有没有好的？

Answer 1

简单地使用一些密码来即时创建密钥既是一种不安全的方法，也会产生一个糟糕的密钥。 DB保持需要是一个随机字节数组。请记住，关键需要在内存中使用，这将是大部分时间的数据库。

WRT使用数据库加密，仔细检查算法是否完全指定并与其他数据库兼容。还有可能需要将整个数据库流失并添加到新的数据库中，在这种情况下，使用内部数据库加密将是透明的。

您真的需要考虑在将来需要能够更改加密密钥，如果它受到威胁，您会做什么？有这种困境的解决方案。在数据库之外执行加密可能会有很大的性能损失，每个新的加密操作都有相当长的设置时间。此外，由于并非所有列都将被加密（很好的猜测），该信息不会被数据库和外部加密代码共享，所以这种耦合不利于设计和维护。

请勿将数据库服务器连接到Internet，使其与独立连接（如直接以太网）相连接。这也限制了包含加密密钥的唯一系统的管理员用户数量。

解决方案的另一个重要部分是限制管理员访问服务器。这包括要求双因素身份验证以及严重限制管理员的数量。您需要将第二因素控制到组织拥有的物理序列号设备，以便在人员更改时积极检索并不复制它们。我个人喜欢RSA SecureID（或类似的）硬件设备，有积极的控制。

最后在回答这个问题时，将密钥保存在上述受保护的数据库服务器上的一个文件中，即没有Internet访问权限和有限的管理员访问权限。