当密码保存在内存里面时，是绝对安全的吧？

fender0107401

比如我用一个字符串来保存密码（明文），打算后续使用这个密码去连接远程的数据库，这个时候会不会有安全问题呢？

KanonInD

假定系统已被植入木马，就不能假定连接数据库的API没被木马改动过了。

sephirosh-

没有绝对的安全的，只有相对的，就算是加密，如果要去获取你的，最多只是做和你同样的操作，照样可以连接，不一定要知道你的密码的明文，如果真的要相对的安全，那么每次连接的时候，先从远程获取密钥，之后这边再加密存放在内存，访问的时候用这个加密过的去访问，这样，每次启动，存在内存里面的密码都是不同的，可以达到相对的安全的效果，但是这种方式也并不是绝对安全的，可以拦截你的密钥之后，在根据的存储的加密过的内容进行解密，最终得出你的加密方式作出解密的工具，而最绝的就是直接反汇编你的加密算法，之后写出获取你内存的数据之后在解密的工具

总结，没有绝对的安全，只有更复杂的思路去反被解密或者监听

snow888

fender0107401 发表于 2012-12-14 15:38
那该如何是好啊？

加密存放，程序启动的时候读出来，用私钥解密。

xsniper001

只要连接数据库的时候是明文，别人总可以搞到的，没有绝对安全，只有相对的，
减少密码在内存的时间，用加密总好一些。

wangyb

每一步都有可能泄露自己的密码。
包括在连接数据库之前。
我见过通过更改本机的数据库连接的dll中的api，在你的程序连接数据库的时候，直接截获密码。

noword2k

如果你要给对方可执行文件，对方就可以逆向（反汇编）、debug这些文件。

你想保护数据库密码是不可能的，拿到密码的方法多了去了。

最好的方法就是设置数据库的权限，让外露的账号保持可用的最小权限。

cjaizss

folklore 发表于 2012-12-14 18:11
为什么大家都说不安全，就我说安全？
如果保存在内存中不安全，那保存在什么地方都不安全。

挺你！妇科老人

socay2

那个什么MD5加密算法，可以用不呢？
还有什么不可逆算法，我不清楚。