SSL 系统属性 - 安全风险？

Question

这可能是一个愚蠢的问题，但是通过 System.setProperty 设置我的 Web 服务器 ssl 配置（例如密钥库密码）会有多大的安全风险...

如果我做了类似的事情：

System.setProperty("javax.net.keyStorePassword", "password");

1. 这可能会导致安全问题吗？
2. 有没有办法在设置属性的同时防范这种风险？
3. 有人会如何妥协？

注意：只是为了补充一点细节，这是一个在 Red Hat 的 Tomcat 6 上运行的 Web 应用程序。

Answer 1

这有多大的风险取决于您的代码运行的环境以及您要保护的对象。如果攻击者可以访问平台本身或以某种方式将代码注入您的平台，那么以这种方式设置属性是您最不麻烦的事情。

只要您的平台能够防止攻击者在您的环境中运行任意代码，您就应该非常安全。