从JVM堆中删除密码

Question

关于如何在Java代码中管理密码，有各种各样的问题和答案——例如，这里和这里。

讨论往往集中在使用< code>char[]而不是< code>String的优点上。

但是，如果是第三方库将密码存储在字符串中，有什么方法可以避免密码存储在JVM的堆中呢？

例如，在以下三种情况下，我认为密码将在JVM的生命周期内保留在堆中：

编辑-示例更新为与我的问题更相关：

// some values read in from a properties file, or similar:
String url = ...;
String user = ...;
String pw = ... ;
...
HikariDataSource ds = new HikariDataSource();
ds.setJdbcUrl(url);
ds.setUsername(user);
ds.setPassword(pw);
...

在上面的示例中，我的com.zaxxer.hikari.HikariDataSource对象在String中包含密码。我看不到在不丢失连接池的情况下为数据源空的方法。

例如，如果我创建一个JDBCSessionDataStoreFactory，那么org.eclipse.jetty.server.session.DatabaseAdaptor保留连接凭据，包括String中的密码。

在这种情况下，可以在org.apache.tomcat.util.descriptor.web中找到密码。ContextResource，如果我还选择使用该连接池，可能也位于org.apache.tomcat.dbcp.dbcp2.BasicDataSource。

换句话说，敏感连接信息可以在JVM堆中的不同位置找到，无论我在代码中使用char数组以及在不再需要敏感数据时覆盖/清空敏感数据有多努力。我并不是说我的努力白费了——我仍然想尽我所能保护自己（例如用户的登录凭据）。但其他凭据（如数据库连接）似乎超出了我的控制。

对于这些情况，有什么解决方案或最佳实践吗？

Answer 1

就像@Holger在评论中说的，任何可以读取文件系统中的堆内存和/或堆转储的东西都已经控制了服务器，所以试图隐藏密码在这一点上是没有用的。更好的办法是保护实际的服务器和其中的服务。

托马斯·波尔宁在下面的链接中给出了一个很棒的答案，但这是关键段落(突出我的):

所有这些都不适用于服务器应用程序，也不适用于处理具有不可忽视的实际价值的机密的客户端代码。如果恶意攻击者能够扫描RAM中的敏感数据，并且这些数据值得人类攻击者1到2分钟的明确关注，那么无论多少覆盖都救不了你。因此，在许多安全很重要的情况下，覆盖密码和密钥只是浪费精力，这给人一种安全感，但实际上并没有改善什么（尽管这可能很方便让审计员敬畏）。

https://security.stackexchange.com/a/75891/4667