Me podrían ayudar por favor es que al generar el jar de mi aplicación empaqueta tambien la informacion de la base de datos (Persistence.xml
) junto a unos archivo-de-propiedades .properties
y esto hace que la aplicacion sea muy vulnerable, quisiera saber como hago para impedir esto para añadirle seguridad a dichos archivos.
-
Hola Sebastian. Ya preguntaste sobre Como cifrar un Jar ? y fue cerrada.. si es a lo que te referias en la otra pregunta deberias editarla para mejorarla y no hacer una nueva. Un saludo– lois6bCommented el 18 oct. 2017 a las 15:34
-
¿Por qué es vulnerable? Es decir, es una aplicación que corre en un servidor, no? (Si tiene acceso directo a una base de datos tiene que ser así, o tienes un problema de diseño grave)– Pablo LozanoCommented el 18 oct. 2017 a las 15:41
Añade un comentario
|
1 respuesta
Contestaré tu pregunta ya que se me ocurre un caso en particular en el que el atacante no tendría acceso a tu ambiente del servidor donde corre tu aplicación, pero sí a tu repositorio de código, aunque seguramente hay mejores formas de hacerlo.
- Asegurate de tener jasypt en tu classpath, lo puedes hallar en http://www.jasypt.org/
- Abre el comando encrypt.sh o encrypt.batsegún tu plataforma y corre el script con los parámetros de la forma
input=LOQUEQUIERESENCRIPTAR password=FRASESECRETA algorithm=PBEWITHMD5ANDDES
, te generará una cadena de este estiloAbcVQvbRzZJ7uw00CahB3Q==
asumiendo que usas hibernate, modifica tu persistence de la siguientemanera
<property name="hibernate.connection.password" value="ENC(AbcVQvbRzZJ7uw00CahB3Q==)"/> <property name="hibernate.connection.provider_class" value="org.jasypt.hibernate.connectionprovider.EncryptedPasswordC3P0ConnectionProvider"/> <property name="hibernate.connection.encryptor_registered_name" value="hibernateEncryptor"/>
Registra el encriptador en tu contexto
EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig(); config.setPasswordEnvName("MY_SECRET"); StandardPBEStringEncryptor strongEncryptor = new StandardPBEStringEncryptor(); strongEncryptor.setAlgorithm("PBEWITHMD5ANDDES"); strongEncryptor.setConfig(config); HibernatePBEEncryptorRegistry registry = HibernatePBEEncryptorRegistry.getInstance(); registry.registerPBEStringEncryptor("hibernateEncryptor", strongEncryptor);
ahora toca agregar una variable de ambiente que esté de acuerdo al código anterior, es decir que se llame
MY_SECRET
Suponiendo que te preocupe que alguien entre a tu servidor y robe esa conraseña de tu variable de ambiente, una vez iniciada tu aplicación puedes borrarla sin problemas
Fuente: https://rajnarayanamurthy.wordpress.com/2011/04/14/protect-passwords-in-config-files/