Come aggirare la codifica di una password PFX

Question

Come aggirare la codifica di una password PFX

#1 da (0 voti)

2

Ho un'applicazione che funge da server SSL. Ho il file pfx e nel codice, ho dovuto codificare la password per utilizzarla nel seguente modo

PKCS12_parse(p12, PFXPassword, &pkey, &cert, &ca)

Quanto più leggo qui, tanto più mi sto rendendo conto di quanto il mio codice sia suscettibile di reverse engineering e quindi di estrapolare la password dal codice stesso. Come potrei fare per proteggermi da questo?

Mi aspetto che il mio codice alla fine (si spera) possa essere distribuito in scatole di cui non ho il controllo, quindi limitarmi a tenerlo per me non sembra un'idea plausibile.

authentication tls code-review

posta Rubix Rechvin 29.03.2016 - 21:00

fonte

1 risposta

Leggi altre domande sui tag authentication tls code-review

Controllare se l'utente ha effettuato l'accesso su altro sito autenticato da ADFS Decipher disco: app iOS con funzionalità TrueCrypt e VeraCrypt - È stata eseguita una revisione della sicurezza? è sicuro da usare?

score 0 · Accepted Answer

Se mi chiedi di dover aggiornare il codice quando cambi i certificati è un progetto piuttosto scadente, ma quella non era la tua domanda.

L'unico modo per proteggere la chiave privata dal server stesso è di scaricare le operazioni SSL su un host affidabile. Se si è preoccupati della sicurezza della chiave privata sul server, è possibile ottenere un modulo di sicurezza hardware (HSM) che memorizza in modo sicuro la chiave privata ed esegue le operazioni crittografiche necessarie in un ambiente isolato sicuro.

Onestamente, se non intendi utilizzare un HSM, puoi anche archiviare la chiave in testo normale anziché inserire una password nell'applicazione perché è solo l'illusione della protezione. Senza un HSM, in un modo o nell'altro il server deve avere la chiave privata per funzionare e qualcuno con il controllo del server può semplicemente strapparlo dalla memoria se lo desidera.