Cómo evitar la codificación PFX de una contraseña PFX

Question

Cómo evitar la codificación PFX de una contraseña PFX

#1 de Brad (0 votos)

2

Tengo una aplicación que actúa como un servidor SSL. Tengo el archivo pfx y, en código, he tenido que codificar la contraseña para usarla de la siguiente manera

PKCS12_parse(p12, PFXPassword, &pkey, &cert, &ca)

Cuanto más leo aquí, más me doy cuenta de lo susceptible que sería mi código a la ingeniería inversa y, por lo tanto, extrayendo la contraseña del código mismo. ¿Cómo me haría para protegerme de esto?

Espero que mi código sea implementado (con suerte) en cajas que no tengo control, por lo que mantenerlo para mí no parece una idea plausible.

authentication tls code-review

pregunta Rubix Rechvin 29.03.2016 - 21:00

fuente

1 respuesta

Lea otras preguntas en las etiquetas authentication tls code-review

Compruebe si el usuario ha iniciado sesión en otro sitio autenticado por ADFS Prevención de ataques de hundimiento

score 0 · Accepted Answer

Si me pide que actualizar el código cuando cambie los certificados es un diseño bastante deficiente, pero esa no fue su pregunta.

La única forma de proteger la clave privada del propio servidor es descargar las operaciones SSL a un host de confianza. Si le preocupa la seguridad de la clave privada en el servidor, puede obtener un módulo de seguridad de hardware (HSM) que almacena de forma segura la clave privada y realiza las operaciones criptográficas necesarias en un entorno seguro y aislado.

Honestamente, sin embargo, si no va a utilizar un HSM, también puede almacenar la clave en texto simple en lugar de codificar una contraseña en su aplicación, ya que eso es solo una ilusión de protección. Sin un HSM, de una forma u otra, el servidor debe tener la clave privada para operar y alguien con el control del servidor puede simplemente extraerla de la memoria si lo desea.