java 对象加密_如何确保将Java对象(包含加密材料)归零？

我担心的是,垃圾收集器管理的加密密钥和秘密可以在内存中复制和移动而不会出现零化.

作为一种可能的解决方案,它足以：

public class Key {

private char[] key;

// ...

protected void finalize() throws Throwable {

try {

for(int k = 0; k < key.length; k++) {

key[k] = '\0';

}

} catch (Exception e) {

//...

} finally {

super.finalize();

}

}

// ...

}

编辑：请注意,我的问题不仅涉及对象的官方(引用)副本的归零,而且还涉及垃圾收集器可能已经制作的任何陈旧副本,同时它会为了空间和速度效率而改变内存.

最简单的例子是标记和扫描GC,其中对象被标记为“引用”,然后所有这些对象被复制到另一个区域.其余的都是垃圾,所以他们被收集.当副本发生时,可能会留下垃圾收集器不再管理的剩余密钥数据(因为“官方”数据位于新区域中).

对此进行的试金石是,如果您在加密模块中使用密钥,将密钥归零,然后检查整个JVM进程空间,则不应该找到该密钥.

解决方法:

标签：java,security,fips

来源： https://codeday.me/bug/20190518/1130446.html