Cryptage des données utilisateur pour une application Web Java (Spring/Jboss)

Question

Nous enregistrons des données utilisateur sur un serveur et nous voulons enregistrer ces données cryptées avec TrueCrypt.

Si un utilisateur s'enregistre, nous générons pour lui une clé asymétrique cryptée avec son mot de passe. Cette clé asymétrique spécifique à l'utilisateur cryptera toutes les clés utilisées pour les services, y compris le cryptage des données mentionné ci-dessus.

Si nous voulons maintenant lire les fichiers utilisateurs, ajouter de nouveaux et modifier ceux qui existent dans notre application Java s'exécutant sur un serveur d'applications, devrions-nous monter le conteneur TrueCrypt? Nous pensons qu'il pourrait s'agir d'une fuite de sécurité car un attaquant pourrait facilement regarder dans le conteneur monté, mais nous n'avons également aucune autre idée - nous sommes un peu coincés!

Je suis sûr que quelqu'un peut nous aider ici.

Merci, Heinrich

@EDIT Par ailleurs, nous utilisons Spring pour votre application Java.

Answer 1

Je ne pense pas que ce soit une bonne idée d'utiliser TrueCrypt pour cette utilisation. Lorsque vous utilisez TrueCrypt, vous n'avez pas d'autre choix que de le monter sur chaque requête pour les fichiers cryptés. Vous devriez penser à utiliser le cryptage Java et faire vous-même le cryptage et le décryptage. Il existe des bibliothèques comme Google Keyczar qui peuvent vous aider à implémenter ceci.