в безопасности ли данные приложения при работе JVM?

Question

[vvsh]

Здравствуйте.
Возник такой вопрос, возможен ли доступ из вне к объектам, которые хранит JVM?
спасибо

Answer 1

[1nd1go]

Вообще да. Можно сделать heap dump с помощью jconsole (это могут сделать все пользователи) Тогда jvm создаст файл heapdump'а с правами на чтение только для пользователя от имени которого пашет jvm. Так что контроллируйте кто имеет доступ к этому пользователю.

Answer 2

[Алексей Гусейнов]

Безусловно нет. Способа защиты нет.

Если более точно, что в безопасности от кого? Если программа работает на локальной машине, то я могу от root'а в любой кусок памяти залезть. Да что там говорить, при физическом доступе можно даже планку памяти выдернуть, вставить в другой компьютер и прочитать данные на нем. Если её заморозить охлаждающим балончиком, то данные не успеют стереться.

Comments

[vvsh]

просто есть приложение, в нем в памяти хранятся данные:
личные сообщения
данные авторизации

вот возможно ли эти данные похитить каким либо образом?
если да, то как от этого защититься, может быть шифрование?

[vvsh]

вернее уже понятно, что возможно.

[Алексей Гусейнов]

Личные данные пользователя приложения или кого-то еще? Если пользователя, то красть свои собственные данные ему нет смысла. Если чужие — то надо придумывать, как их не хранить у остальных пользователей. Не представляю, зачем они нужны на машине, если никто не должен их видеть.

Системный администратор же может утянуть любые данные с подконтрольных ему машин. Он может хоть за клавиатурой следить, может за экраном следить. А лезть в память и расшифровывать её ему не нужно, так как есть пути проще.

Так что помимо вопроса «Что защищаем?» надо ставить вопрос «От кого защищаем?», а также «Насколько ценны эти данные?» и «Сколько мы готовы потратить на защиту?». Главное правило: стоимость кражи данных должна превышать стоимость выгоды от их использования, а ущерб от кражи должен быть больше стоимости защиты.