Un modo sicuro e ad alta portabilità per archiviare le password?

3

Sto sviluppando un'applicazione desktop Java multipiattaforma che utilizza una password per ricavare una chiave crittografica. Vorrei aggiungere una funzione "Ricordami" che memorizza questa chiave crittografica sul disco rigido in modo sicuro in modo che il mio programma possa ottenerla dopo un riavvio.

Se lo memorizzo direttamente, chiunque riesca a ottenere l'accesso al disco rigido di un utente tipico (nessuna crittografia) sarà in grado di ottenere la chiave. Se lo crittografo, la chiave utilizzata per crittografarlo deve ancora essere memorizzata da qualche parte sul disco, e quindi sconfigge lo scopo.

Ho visto gnome-keyring, Windows Credential Manager e portachiavi Mac OSX, ma sembra che ognuno abbia le proprie API non Java (o porte non ufficiali su Java). Inoltre, sembra che qualsiasi programma in esecuzione come l'utente sarà in grado di leggere o scrivere da o verso questi due servizi.

C'è un modo più portatile (e preferibilmente isolato) per archiviare in modo sicuro le password (o le chiavi crittografiche) sul disco rigido?

Grazie!

    
posta id0 07.06.2018 - 06:53
fonte

1 risposta

4

Sui sistemi attuali, puoi usare TPM. Può essere utilizzato per memorizzare (o avvolgere) la chiave radice e protegge le chiavi aggiuntive create da un'applicazione. Le chiavi dell'applicazione non possono essere utilizzate senza il TPM, rendendo questo un metodo di autenticazione molto utile per i dispositivi endpoint.

Leggi le istruzioni su come qui .

Un altro metodo avanzato che verrà probabilmente utilizzato molto in futuro è l'uso di funzioni fisicamente non classificabili. Invece delle chiavi memorizzate (e suscettibili alle letture), le chiavi derivano invece da proprietà fisiche uniche della memoria SRAM di un chip e esistono solo all'accensione. Usando un PUF basato su SRAM, le chiavi sono garantite come uniche poiché utilizzano la casualità intrinseca nei modelli bit di silicio. Anche se questo sembra più futuristico, oggi è qualcosa di usabile.

Dettagli PUF e documentazione sull'archiviazione delle chiavi con questo metodo.

    
risposta data 07.06.2018 - 07:26
fonte

Leggi altre domande sui tag