如何以及在何处存储 Java 桌面应用程序的主密码

Question

我正在开发一个将用户密码存储在 .db 文件中的小型 Java 桌面应用程序。当用户创建一个新数据库时，用户必须为该数据库创建一个主密码，以便访问他们可能选择存储在其中的任何 facebook 或 twitter 密码。我的问题是，我应该在哪里以及如何安全地存储主密码？

我的想法是加密主密码并在存储之前添加盐，然后将密码存储在加密的文本文件或 .db 文件中，然后在用户尝试访问数据库时读取它。我只是在寻找有关这是否是一个好主意或是否有更好的选择的指导。

应用程序是桌面应用程序而不是 Web 应用程序。

Answer 1

假设您有一个包含 facebook 或 twitter 密码的 .db 文件。 您以加密形式存储它们，并使用主密码作为加密密钥来加密/解密您的 .db 文件。在这种情况下，主密码由用户输入，不存储在任何地方（您可以在应用程序运行时将其保存在内存中）。要在用户尝试访问数据库时验证主密码，您可以使用它解密一些字符串常量。

Answer 2

最安全的密码存储方式是即使您（您的应用程序）也不知道密码是什么。这是通过使用单向哈希来完成的。顾名思义，这是一种方法，没有办法“取消散列”散列值并查看原始值是什么。

加密散列的一个重要特征是散列值将总是产生相同的散列。“快速棕色狐狸跳过懒狗的 SHA-2 (256) 散列"将总是生成一个哈希d7a8fbb307d7809469ca9abcb0082e4f8d5651e46d3cdb762d02d0bf37c9e592 - 虽然没有办法获取该哈希并确定未哈希值是什么，但拥有彩虹表的黑客可以看到它对应的内容（这就是为什么弱密码，即使散列仍然容易受到攻击，世界上每个彩虹表都会有 123456 的散列）。

因此，在对密码进行哈希处理之前，我们添加了一个盐（理想情况下，每个用户使用不同的盐）。如果在散列“The quick brown fox jumps over the lazy dog”之前我们添加一个盐（让我们只使用单词“salt”作为一个简单的例子）我们现在将散列“saltThe quick brown fox jumps over the lazy dog”并得到@ 987654323@ 作为我们的哈希。

盐渍哈希是您应该存储的内容（无论如何/在任何对您的应用程序有意义的地方）并进行检查。因此，当用户首次创建帐户时，您将：

1. 输入他们选择的密码并添加盐
2. 散列（使用无冲突的加密散列，例如SHA-2）
3. 存储结果

当用户尝试登录时，您将：

1. 将他们输入的密码输入登录表单并添加盐
2. 散列
3. 将其与您存储的内容进行比较

如果输入的密码不一样，你就知道他们输入了正确的密码，你就可以登录了。