Oracle JDBC客户端在连接时加密密码吗？

Question

使用Oracle JDBC客户端库建立Oracle连接时，是否默认加密密码或安全握手？（想知道在使用Oracle JDBC客户端库进行连接时，是否存在通过线路嗅探密码的风险）

Answer 1

密码在通过网络传输时总是加密的。

这并不是说它不受攻击。如果攻击者能够获得用户密码的哈希值，并且能够监视合法客户端与数据库之间的网络通信，那么就有可能获得纯文本密码。

对于好奇的人来说，这里总结了Oracle数据库软件不同版本的身份验证过程。处理加密密码传输的步骤以粗体显示。JDBC驱动程序使用的身份验证协议版本并不完全直观，因为它并不总是与其通告的版本相匹配。这是因为客户端可以协商它希望使用的协议。例如，11G JDBC驱动程序在连接到11G数据库时可能不一定使用11G身份验证协议（可能会倒回到10G身份验证协议）。我忘记了哪些驱动程序使用了哪些协议。

null

null

null

1. 客户端从服务器请求会话密钥，指定它希望连接的用户。
2. 服务器生成服务器会话密钥。
3. 服务器生成验证器数据。
4. 服务器使用请求的用户密码哈希作为密钥来加密服务器会话密钥。
5. 服务器将加密的服务器会话密钥（“auth_sesskey”）和验证器数据（“auth_vfr_data”）传输到客户端。
6. 客户端使用验证器数据作为SALT对用户密码进行散列。
7. 客户端使用用户的密码哈希作为密钥来解密加密的服务器会话密钥。
8. 客户端生成客户端会话密钥。
9. 客户端将客户端会话密钥与服务器会话密钥组合。
10. 客户端会设置用户的密码。
11. 客户端使用组合的会话密钥（来自步骤9）作为其秘密密钥来加密用户的salted密码。(AES-192)
12. 客户端使用用户的密码哈希作为密钥来加密客户端会话密钥。
13. 客户端将加密的客户端会话密钥和加密的SALT用户密码传输到服务器。
14. 服务器使用请求的用户密码哈希解密加密的客户端会话密钥。
15. 服务器将客户端会话密钥与其服务器会话密钥组合。
16. 服务器使用组合会话密钥（来自步骤15）作为密钥来解密加密的、加盐的密码。
17. 服务器取消对已加盐密码的加盐。
18. 服务器对解密的密码进行哈希。
19. 服务器将计算的密码散列（来自步骤18）与存储的密码散列进行比较。如果它们相等，则表示用户提供了正确的密码。