0
안녕 보안 인식 명,데이터베이스 연결을 만들 때 하드 코드 된 자격 증명의 위험은 무엇입니까?
나는 최근에 정적 코드 분석 및 심각도가 높은 연구 결과 중 하나에 대한 도구를 사용하여 내 응용 프로그램 연결을 만들기위한 하드 사용자 이름과 암호입니다 스캔 한 :
dm.getConnection(databaseUrl,"server","revres");
왜 스캐너가 응용 프로그램의 위험 요소라고 생각합니까? 암호가 손상된 경우 쉽게 암호를 변경할 수없는 등의 단점이 있습니다. 이론적으로 누군가는 자격 증명을 배우기 위해 이진 파일을 리버스 엔지니어링 할 수 있습니다. 그러나 나는 암호화되지 않은 한 설정 파일에 자격 증명을 저장하는 이점을 보지 못합니다. 설정 파일은 쉽게 찾을 수 있고 읽을 수 있습니다. 암호를 암호화하면 암호 키로 같은 문제를 해결할 수 있습니다 ...
더 이상 볼 수없는 위험이 있습니까? 아니면 완전히 다른 접근 방식을 사용해야합니까? 대단히 감사합니다.
그건 내가 생각했던 것 대부분이지만, 나는 확실히하고 싶었다. 이것은 내가 책임지고있는 작은 응용 프로그램이므로 위험이 너무 높지 않습니다. 물론 정적 코드 분석 도구는 dev 팀의 크기 나 다른 환경의 보안 수준 (DEV, UAT, PROD 사용)과 같은 요인을 고려할 수 없으므로 심각도 분류는 아마도 그것이 가정이라는 가정에 기반 할 것입니다 대규모 엔터프라이즈 애플리케이션 – Pepa