如何在 Java 客户端中存储服务器密码以供以后重新连接？

Question

我有一个通过安全/SSL 套接字连接到服务器的客户端应用程序。用户需要在应用程序启动时登录。现在我有一个要求，我需要将实际密码发送到服务器（通过 SSL 加密），而不是发送密码哈希的首选方法。话虽如此，如果客户端由于连接丢失而需要在后台重新连接到服务器，我该如何将密码安全地存储在客户端内存中，以便我可以重新使用此密码？

我可以轻松地对密码进行加密，甚至可以将其放入 KeyStore 并稍后检索以重新连接，但是，即使我这样做，在我看来，如果黑客有权访问应用程序，他也可以检索密码在调试器中。当需要将密码临时存储在客户端上时，这只是生活中的事实吗？

是否有更好/首选的方法来实现相同的目标（即允许客户端重新连接到服务器，而无需用户在初始登录后再次输入密码）？从服务器发送的过期登录令牌会是更好的方法吗（我可以在重新连接时将此过期令牌而不是密码传递回服务器）？

最后，一般来说，当应用程序正确“去除”调试符号时，将调试器连接到 Java 桌面或 Android 上正在运行的应用程序有多容易？我什至需要担心这种情况，还是 Java 会保护我的交付应用程序免于附加调试器或其他内存分析器？

Answer 1

如果黑客可以在调试器中访问应用程序，他就可以找回密码。

正确。黑客还可以通过用肉眼越过用户的肩膀看用户打字来访问密码。

并且黑客在他们将键盘记录器存储在用户计算机上后就可以访问。

当人们需要将密码暂时存储在客户端上时，这只是现实吗？

没有。

另一种方法是您亲自拜访每个用户并告诉他们不要使用调试器来破坏安全性。

让我们想想用户（知道密码）在调试器中启动应用程序以了解密码的用例。他们已经知道了。

在考虑了用户启动在调试器下运行的客户端应用程序的唯一用例之后，我不确定安全性是否“被破坏”，因为他们已经知道密码。

我想 Henry Hacker 可以在调试器中启动应用程序，通过关闭电源将其隐藏在另一个显示器上，然后运行以获取真实用户并让他们在开发工作站上输入密码已关闭其中一台显示器。这就是您所说的“在调试器中访问应用程序”的场景吗？

我还需要担心这种情况吗，

真的没有

Java 是否会保护我的交付应用程序免于附加调试器或其他内存分析器？

不，Java 不会保护您的用户。常识可以保护您的用户。

如果调试器正在运行，它们不应该使用计算机。

99% 的情况下，他们不会启动调试器。

1% 的情况下，他们会意外运行调试器——因为用户点击随机图标。其中 1% 实际上会让您的应用程序在调试器下运行。同样，通过单击随机图标。其中 1% 的人实际上会通过点击屏幕上的随机图标进入他们可以输入密码的地方。

可能用户可能会以某种方式在调试器下运行您的客户端。但。因为他们已经知道密码，所以担心它没有意义。

---

这与中间人攻击或远程控制攻击完全不同。

如果有人远程控制您用户的计算机、运行调试器并监视事务，那是完全独立的。这被防火墙和操作系统阻止了。不是 Java。

---

将其放入 KeyStore 并稍后检索以重新连接

这就是你所能做的。您的应用程序无法阻止“连接调试器”场景。提醒用户正在连接调试器是操作系统的工作。

如果您担心责任，请不要存储密码。责任终止。

Answer 2

我会按照您的建议在服务器端创建某种会话令牌。将其与用户关联，并将其发送回客户端。

取决于您所说的简单。我认为调试 Java 应用程序相当容易，即使它们没有调试符号。如果它们被混淆，甚至可以调试它们。

Answer 3

您对应用程序中的（系统范围的）键盘记录器无能为力。因此将密码存储在内存中是有风险的，但比会话令牌风险小：

黑客可以使用伪造 SSL/安全重新连接的恶意客户端并暴力破解令牌。与将密码存储在内存中相比，这种方法会带来更大的风险。