在 Go 中覆盖私钥

Question

在服务器端 Go 代码中，我获取私钥并使用它们对断言进行签名，但我不想让它们留在内存中。以下是否理智？    var private ed25519.PrivateKey    // acquire and use the private key    // now I want to overwrite it so it's not lurking in memory    privKeyBytes := []byte(private)    _, _ = rand.Read(privKeyBytes)

Answer 1

是的，在大多数情况下，覆盖密钥字节应该可以做到这一点。

请注意，目前 Go CMS 垃圾回收器是一个非移动的世代 GC，这意味着如果您不创建对象的副本，则 GC 也不会创建副本。这是实现细节，将来可能会更改。

此外，根据部件的功能，该部件也可能将密钥泄漏到堆上。例如，读取 PEM 格式的文件可能会泄漏 PEM 编码的字符串。// acquire and use the private key

要真正确定，请在覆盖密钥后立即闯入并将整个堆转储到文件中。然后在其中搜索密钥字节。gdb

$ go build -gcflags "-N -l"

$ gdb ./test

(gdb) source /usr/go/src/runtime/runtime-gdb.py

Loading Go Runtime support.

(gdb) b test.go:16

(gdb) r

Thread 1 "test" hit Breakpoint 1, main.main () at test/test.go:16

(gdb) info i

  Num  Description       Executable

* 1    process 14176     test/test

(gdb) (Ctrl-Z)

[1]+  Stopped                 gdb ./test

$ cat /proc/14176/maps|grep '\[heap\]'|(read a; x=(${a//-/ }); dd if=/proc/14176/mem bs=4096 iflag=skip_bytes,count_bytes skip=$((0x${x[0]})) count=$((0x${x[1]}-0x${x[0]})) of=heap.bin)

$ grep -obUaP "\x01\x02\x03..." heap.bin

$ fg

(gdb) q