在 Go 中覆盖私钥

Question

在服务器端 Go 代码中，我获取私钥并使用它们对断言进行签名，但我不想让它们留在内存中。以下是否理智？

    var private ed25519.PrivateKey

    // acquire and use the private key

    // now I want to overwrite it so it's not lurking in memory

    privKeyBytes := []byte(private)

    _, _ = rand.Read(privKeyBytes)

Answer 1

是的，在大多数情况下，覆盖密钥字节应该可以做到这一点。请注意，目前 Go CMS 垃圾回收器是一个非移动的世代 GC，这意味着如果您不创建对象的副本，则 GC 也不会创建副本。这是实现细节，将来可能会更改。此外，根据部件的功能，该部件也可能将密钥泄漏到堆上。例如，读取 PEM 格式的文件可能会泄漏 PEM 编码的字符串。// acquire and use the private key要真正确定，请在覆盖密钥后立即闯入并将整个堆转储到文件中。然后在其中搜索密钥字节。gdb$ go build -gcflags "-N -l"$ gdb ./test(gdb) source /usr/go/src/runtime/runtime-gdb.pyLoading Go Runtime support.(gdb) b test.go:16(gdb) rThread 1 "test" hit Breakpoint 1, main.main () at test/test.go:16(gdb) info i  Num  Description       Executable* 1    process 14176     test/test(gdb) (Ctrl-Z)[1]+  Stopped                 gdb ./test$ cat /proc/14176/maps|grep '\[heap\]'|(read a; x=(${a//-/ }); dd if=/proc/14176/mem bs=4096 iflag=skip_bytes,count_bytes skip=$((0x${x[0]})) count=$((0x${x[1]}-0x${x[0]})) of=heap.bin)$ grep -obUaP "\x01\x02\x03..." heap.bin$ fg(gdb) q