如何向Java应用安全传递密钥？（假设攻击者拥有root权限）

以下是几种符合安全要求的实现方式，无需修改Alfresco或Solr的Java源码：

1. 利用进程替换（Process Substitution）传递密钥 #

bash的进程替换功能可以创建一个临时的管道式文件路径，Java应用读取该路径时会直接获取密钥内容，全程无磁盘存储，且命令行不会暴露密钥明文。

操作示例： #

假设你已从FIFO将密钥读取到shell变量KEYSTORE_PWD中，启动Java时通过系统属性指定密码文件路径为进程替换的结果：

# Alfresco启动示例
java -Dkeystore.password.file=<(echo "$KEYSTORE_PWD") -jar alfresco.war

# Solr启动示例
java -Dsolr.ssl.keyStorePasswordFile=<(echo "$KEYSTORE_PWD") -jar solr.jar start

该方式的核心是<(echo "$KEYSTORE_PWD")会生成一个类似/dev/fd/63的临时路径，Java读取时直接从内存管道获取密钥，不会在磁盘留下任何明文痕迹，命令行仅显示路径而非密钥本身。

2. 通过标准输入（stdin）传递密钥 #

若Alfresco/Solr支持从标准输入读取keystore密码（部分Java应用会提供--keystore-password-stdin类参数），可直接将密钥通过管道传入Java进程：

# 假设应用支持stdin读取密码
echo "$KEYSTORE_PWD" | java -jar your-app.jar --keystore-password-stdin

若官方未提供直接参数，可检查应用配置是否支持通过System.in读取密码属性——部分框架允许在配置文件中使用类似${stdin:keystore.password}的语法，从标准输入加载值。

3. 基于tmpfs的内存临时文件（备选） #

如果上述两种方式不适用，可借助tmpfs（内存文件系统）创建临时文件存储密钥，严格限制权限并在Java启动后立即删除：

# 在/dev/shm（tmpfs挂载点）创建权限为600的临时文件
TMP_PWD_FILE=$(mktemp --tmpdir=/dev/shm)
chmod 600 "$TMP_PWD_FILE"
echo "$KEYSTORE_PWD" > "$TMP_PWD_FILE"

# 启动Java并指定密码文件路径
java -Dkeystore.password.file="$TMP_PWD_FILE" -jar your-app.jar

# 启动后立即删除临时文件，避免内存残留过久
rm -f "$TMP_PWD_FILE"

该方式下密钥仅短暂存在于内存中，不会写入磁盘，即使root用户也无法从磁盘获取明文。

关键注意事项： #

• 需确认Alfresco/Solr是否支持通过文件路径读取keystore密码（多数企业级Java应用均提供此配置项）；
• 所有操作需保证shell脚本的权限为700，避免非授权用户读取脚本逻辑；
• 若使用systemd启动，需确保服务的PrivateTmp=true配置（默认开启），进一步隔离临时文件环境。

内容的提问来源于stack exchange，提问作者QF0