Использовать сильный алгоритм в ScramSha1Authenticator - согласно Veracode?

Мы используем java-драйвер Mongo DB 3.4.1 jar. Когда мы провели тестирование Veracode, мы обнаружили, что:

Строка ScramSha1Authenticator.java № 215 использует сломанный или рискованный криптографический алгоритм.

Есть ли какое-либо известное решение/обходной путь для этого?

Поскольку это критическая проблема, мы должны решить ее, прежде чем переходить к производству.


java mongodb veracode sha
person Jbaur    schedule 18.04.2017    source источник
comment
Veracode что-то рекомендует? Может сменить на ша256   -  person    schedule 18.04.2017
comment
Да. Но, как мы это изменим. Это сторонний код. не наш. Возможно, нам придется поднять запрос к mongo DB, чтобы изменить его соответствующим образом.   -  person Jbaur    schedule 18.04.2017
comment
Да, наверное, вам придется это сделать. Или вы получаете код и меняете его сами (он есть на github, если я не ошибаюсь). Или уточните у Veracode, можете ли вы смягчить это (объясните, что это сторонний код и т. д.) — не знаю, как с ними справиться.   -  person    schedule 18.04.2017
comment
Есть разница между SCRAM-SHA-1 и SHA-1. См. также ответ на дубликат сообщения здесь: groups.google.com/ форум/#!topic/mongodb-user/WCUgQfN-cn0   -  person Wan Bachtiar    schedule 20.04.2017

Ответы (1)


arrow_upward
1
arrow_downward

Это нельзя легко изменить, потому что это не просто драйвер: SCRAM-SHA-1 — текущий протокол аутентификации по имени пользователя и паролю в последней версии MongoDB, использующий SHA-1; драйвер не может просто в одностороннем порядке решить использовать вместо этого SHA-256.

Я не знаю, насколько вы привержены прохождению тестов Veracode, но я вижу два возможных варианта, которые позволят вам безопасно продолжать использовать MongoDB, несмотря на отчет о безопасности Veracode:

  1. Получите гарантию от MongoDB, что механизм SCRAM-SHA-1 не уязвим для известных проблем с безопасностью. с алгоритмом SHA-1
  2. Вместо этого механизма аутентификации используйте другой механизм; возможно, аутентификация сертификата x.509 или Аутентификация Kerberos
person Vince Bowdren    schedule 18.04.2017