2

Minha aplicação em java atualmente está se conectando com um banco pl/sql, username e password da conexão estão no arquivo jdbc:

jdbc.username=xxxxxxx
jdbc.password=xxxxxxx
jdbc.url=xxxxxxxxxxxx

e o Spring utiliza esses dados para criar a conexão, e encontra isso pelo arquivo applicationContext.xml

<!-- Carregamento do Arquivo de Configuracoes do JDBC -->
    <context:property-placeholder location="xxxx" />

<!-- Configuracao do DataSource -->
<bean id="dataSource" class="xxxxx">
    <property name="driverClassName" value="${jdbc.driverClassName}" />
    <property name="url" value="${jdbc.url}" />
    <property name="username" value="${jdbc.username}" />
    <property name="password" value="${jdbc.password}" />
</bean>

A ISO 27001 pede que não fique fixado estaticamente ao código a senha de conexão, pois os desenvolvedores não poderão mais ter acesso a senha do banco de dados. Alguma ideia de como posso resolver isso?

1 Resposta 1

2

O modo padrão de resolver isso na arquitetura Java EE é que as conexões com o banco de dados ou quaisquer fontes externas em produção sejam fornecidas através de configurações no servidor de aplicação, tal como Tomcat, Glassfish, JBoss/Wildfly, WebSphere, WebLogic.

Dessa forma, somente as pessoas autorizadas a administrar o servidor de aplicação nos diferentes ambientes pode efetivamente ver e modificar a senha. A aplicação apenas "confia" através da configuração que os data sources serão providas no momento da execução.

Essa técnica utiliza tecnologia JNDI, onde o servidor disponibiliza os data sources configurados no registro JNDI e as aplicações instaladas nele podem consultar e consumir esses objetos.

Se sua aplicação não usa ou não pode usar um servidor de aplicação, outros mecanismos menos seguros incluem fornecer os dados de autenticação:

  • Através de arquivos de configuração em diretórios protegidos
  • Através de variáveis de ambiente com nomes específicos
  • Através de parâmetros que são passados para a aplicação na inicialização

Entretanto, nesses casos é preciso ter muito cuidado para não acabar imprimindo a senha em logs ou mesmo mostrando em alguma parte da aplicação. Não é incomum que alguma ferramenta imprima os parâmetros e as variáveis de ambiente se o programa travar, ou ainda alguns sistemas também incluem funcionalidades que mostram as variáveis de ambiente, por exemplo.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .