Последствия изменения пароля хранилища доверенных сертификатов Java по умолчанию

Недавно мне пришлось добавить свой корпоративный корневой ЦС (на основе AD CS) в хранилище доверенных сертификатов JRE по умолчанию (файл $JAVA_HOME/lib/security/cacerts). Затем я обнаружил (поскольку я новичок в этом), что пароль по умолчанию — changeit.

Я нашел различные сообщения, объясняющие, как его изменить, но есть два вопроса, на которые я не могу найти ответы:

  1. Является ли сохранение пароля по умолчанию угрозой безопасности? Я предполагаю, что злоумышленник может затем импортировать скомпрометированные сертификаты, чтобы клиенты им доверяли.
  2. Каковы последствия изменения этого пароля хранилища доверенных сертификатов? Я также предполагаю, что JRE может искать корневой ЦС внутри, потому что он знает пароль по умолчанию. Нужно ли будет его где-то предоставлять после изменения (файл конфигурации, ...)?

В основном мы используем Java в Windows для веб-сайтов, на которых есть апплеты, поэтому мы ничего не запускаем из командной строки (в которой, как я знаю, может быть указан пароль).


java passwords security truststore
person LoTus    schedule 28.11.2016    source источник
comment
Вам не нужно знать пароль, чтобы прочитать хранилище доверенных сертификатов. Вам нужно знать только пароль, чтобы прочитать ключевые записи в KeyStore.   -  person user207421    schedule 28.11.2016
comment
Я тогда немного запутался. Когда я ввожу команду keytool -list -alias mycorpCA -keystore $JAVA_HOME/lib/security/cacerts, меня просят ввести пароль.   -  person LoTus    schedule 29.11.2016

Ответы (2)


arrow_upward
0
arrow_downward

Что касается вашего второго вопроса, есть системные свойства для указания паролей для хранилища доверенных сертификатов по умолчанию и хранилища ключей по умолчанию. Один для хранилища доверия: javax.net.ssl.trustStorePassword

Я нашел эту информацию на https://stackoverflow.com/a/5871352/5629418.

Если злоумышленник может прочитать свойства вашей системы Java либо в файле конфигурации, либо запустив программу Java, то изменение пароля будет в основном бесполезным.

person Roland Weber    schedule 04.02.2019

arrow_upward
0
arrow_downward

Что касается вашего второго вопроса: «Каковы последствия изменения этого пароля хранилища доверенных сертификатов?»

Одним из следствий изменения этого пароля является то, что биты памяти, содержащие новое значение пароля, лучше выделить и где-то хранить для их последующего извлечения, запаса для соответствующих доступов. И если этот пароль не сохранен, то лучше иметь процедуру его восстановления.

Эта статья содержит код для смены такого пароля:

thetechawesomeness.ideasmatter.info

person Oleksii Kyslytsyn    schedule 05.10.2019