Java Web 应用程序的用户数据加密 (Spring/Jboss)

Question

我们正在将用户数据保存在服务器上，并且我们希望使用 TrueCrypt 加密保存这些数据。

如果用户注册，我们会为他生成一个用他的密码加密的非对称密钥。这个非对称的用户特定密钥将加密所有用于服务的密钥，包括上面提到的数据加密。

如果我们现在想要读取用户文件，在应用服务器上运行的 Java 应用程序中添加新文件和修改现有文件，我们是否应该挂载 TrueCrypt 容器？ 我们认为这可能是一个安全漏洞，因为攻击者可以轻松查看已挂载的容器，但我们也没有其他想法 - 我们有点卡住了！

我相信有人可以在这里帮助我们。

谢谢， 海因里希

@edit 顺便说一下，我们正在为您的 Java 应用程序使用 Spring。

Answer 1

我认为在这个用例中使用 TrueCrypt 不是一个好主意。使用 TrueCrypt 时，您别无选择，只能在对加密文件的每个请求上安装它。您应该考虑使用纯 Java 加密并自己进行加密和解密。有像 Google Keyczar 这样的库可以帮助您实现这一点。