Jasypt StandardPBEStringEncryptor在Spring配置文件中設置密碼

Question

當使用Jasypt的StandardPBEStringEncryptor時，我們必須在spring bean配置文件中明確地設置密碼。在bean配置文件中保存密碼是否安全？ PCI合規性存儲加密密碼會有問題嗎？

Answer 1

This will not be PCI compliant。數據加密密鑰不能以明文形式存儲。該特定點是3.5.2它是：

檢查系統配置文件來 驗證密鑰存儲在加密 格式，並且 密鑰加密密鑰是從數據加密密鑰分開存儲 。

你可能也有圍繞重點管理區的其他問題，如3.6.6（拆分知識和按鍵雙重控制）

驗證密鑰管理程序 實施要求分裂 知識和密鑰的雙重控制 （例如，需要兩個或三個人，每個人只知道自己的 部分的關鍵，重建整個密鑰 ）。

Key management是PCI合規性的最具挑戰性的部分。您可能需要考慮使用（已經是PCI標準的）第三方來管理您的卡數據。如果你自己動手，那麼我會建議你儘早帶領QSA（PCI合格安全評估員）協助評估你計劃實施的安全性。最終它將是QSA，你需要說服爲了通過你的PCI要求，他們將非常樂意提供建議。

Answer 2

您需要將對稱密鑰存儲在某處。配置文件是一個很好的地方，只要沒有人能夠訪問它。