0

Me podrían ayudar por favor es que al generar el jar de mi aplicación empaqueta tambien la informacion de la base de datos (Persistence.xml) junto a unos .properties y esto hace que la aplicacion sea muy vulnerable, quisiera saber como hago para impedir esto para añadirle seguridad a dichos archivos.

2
  • Hola Sebastian. Ya preguntaste sobre Como cifrar un Jar ? y fue cerrada.. si es a lo que te referias en la otra pregunta deberias editarla para mejorarla y no hacer una nueva. Un saludo
    – lois6b
    Commented el 18 oct. 2017 a las 15:34
  • ¿Por qué es vulnerable? Es decir, es una aplicación que corre en un servidor, no? (Si tiene acceso directo a una base de datos tiene que ser así, o tienes un problema de diseño grave) Commented el 18 oct. 2017 a las 15:41

1 respuesta 1

0

Contestaré tu pregunta ya que se me ocurre un caso en particular en el que el atacante no tendría acceso a tu ambiente del servidor donde corre tu aplicación, pero sí a tu repositorio de código, aunque seguramente hay mejores formas de hacerlo.

  1. Asegurate de tener en tu classpath, lo puedes hallar en http://www.jasypt.org/
  2. Abre el comando encrypt.sh o encrypt.batsegún tu plataforma y corre el script con los parámetros de la forma input=LOQUEQUIERESENCRIPTAR password=FRASESECRETA algorithm=PBEWITHMD5ANDDES, te generará una cadena de este estilo AbcVQvbRzZJ7uw00CahB3Q==
  3. asumiendo que usas hibernate, modifica tu persistence de la siguientemanera

    <property name="hibernate.connection.password" value="ENC(AbcVQvbRzZJ7uw00CahB3Q==)"/>
    <property name="hibernate.connection.provider_class" value="org.jasypt.hibernate.connectionprovider.EncryptedPasswordC3P0ConnectionProvider"/>
    <property name="hibernate.connection.encryptor_registered_name" value="hibernateEncryptor"/> 
    
  4. Registra el encriptador en tu contexto

    EnvironmentStringPBEConfig config = new EnvironmentStringPBEConfig();
    config.setPasswordEnvName("MY_SECRET");
    
    StandardPBEStringEncryptor strongEncryptor = new StandardPBEStringEncryptor();
    strongEncryptor.setAlgorithm("PBEWITHMD5ANDDES");
    strongEncryptor.setConfig(config);
    
    HibernatePBEEncryptorRegistry registry =  HibernatePBEEncryptorRegistry.getInstance();
    registry.registerPBEStringEncryptor("hibernateEncryptor", strongEncryptor);
    
  5. ahora toca agregar una variable de ambiente que esté de acuerdo al código anterior, es decir que se llame MY_SECRET

  6. Suponiendo que te preocupe que alguien entre a tu servidor y robe esa conraseña de tu variable de ambiente, una vez iniciada tu aplicación puedes borrarla sin problemas

Fuente: https://rajnarayanamurthy.wordpress.com/2011/04/14/protect-passwords-in-config-files/

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.