[java] безопасность jdbc password'а

Очевидно, не хранить пароль в джарке.

Логично. Где тогда хранить?
И еще - какие годные обфускаторы для java есть?

В файле конфигурации. Для особой попоболи - получать его (файл конфигурации) посредством сетевого сокета на сервере управления доступом.

Для начала поясни момент, что это за «веб-приложение» и «злоумышленник получил .jar'ку».

Если злоумышленник попал на сервер, то все твои защиты — мертвому припарка.

Хм, да, с этим, пожалуй, соглашусь.
Тогда гипотетически, существует ли способ решить проблему?

нет, и потом тут довольно странная модель угроз. Как он jar заполучит?

существует ли способ решить проблему?

Сложно представить даже гипотетическую задачу, когда такая жопа может потребоваться.

Понятно. Спасибо!

> Как защитить пароль к базе?

При запуске сервера запросить пользователя-админа ввести пароль (это может быть пароль на дешифровку конфига с инфой по нескольким источникам и паролям к этим источникам). Пароль, таким образом, можно хранить в голове.

container-managed data source?

> нет, и потом тут довольно странная модель угроз.

Допустим веб сервер - физически на одной машине, а БД - на другой, причём у той другой открыт только порт БД для соединения с веб сервером, а зайти внутрь ОС можно только с компа, на котором крутится БД. Тогда, если происходит взлом веб-сервера, злоумышленник не сможет зайти в базу. Для этого ему придётся как-то залезть в оперативку и выковырять пароль к базе оттуда. Это не самая умная схема (т.к. надо соединение с БД также шифровать, т.е. есть ньюансы) , но создаёт предпосылки для лучшей защиты.

Или я не совсем понял, или такой вариант не подходит. Вот пользователь заходит на страничку, он не админ, его просят ввести credentials. Он вводит. Нужно проверить их - для этого надо подрубиться к базе, а для этого нужно знать пароль...

Тут еще какой вопрос: вот, допустим, злоумышленник попал на сервер, скачал все что надо. Т.е. по идее, ему доступны и пользовательские пароли (в базе), и пароль админа (в декомпилированной jar'ке). НО, пользовательские пароли хранятся в виде хеша, поэтому толку от них будет мало, а вот админский пароль из jar'ки - хранится в открытом виде...Как его защитить?