如何安全地存储Google认证密钥？

Question

我正在开发一个网站，将允许使用谷歌认证双因素认证。我的问题是:存储用户密钥的最佳方法是什么？如果我把它保存在一个数据库中，并且它被黑了，那么攻击者就可以生成一次密码。我不能用单向加密像密码一样加密，因为我需要这个秘密种子来生成一次性密码。

Answer 1

您可以将其存储在安全令牌(智能卡)中，但随后必须配置对该安全令牌的访问--这将使您回到原来的问题。如果您能够在启动应用程序之前执行一个操作，那么您可以使用基于密码的加密来保护(包装)密钥。或者，你可以要求一个密码，为智能卡持有钥匙。USB存储卡也可以用来永久存储密钥(别忘了备份)。

显然，首先保护对应用程序的访问是个好主意。在某个时候，您可能仍然需要内存中的密钥，因此如果内存不受保护，攻击者就能够找到它。

另一种方法经常使用它来混淆密钥。但是，一个坚定的黑客通常不会有太多的困难，检索钥匙，无论是任何方式的混淆是做的。