安全性掃描顯示：憑證信任存放區 （Java） 使用預設或弱密碼詳細資料

Bladelogic 提供的安全性掃描會針對 Data Protection Advisor 應用程式伺服器回報下列情況：

Certificate Trust Store (Java) Uses Default or Weak Password Details: Directory Permissions: -rwxrwxr-x Directory Owner: apollosuperuser Directory Owner Group: dpaservices
Technical Detail: /app/emc/dpa/services/_jre/lib/security/cacerts

cacerts 信任存放區的密碼不夠強，因為它使用的是預設密碼。

為了取得更強的密碼，已使用下列步驟變更 cacerts 信任存放區及其別名密碼。

在應用程式伺服器上：

1. cd "C:\Program Files\EMC\DPA\services_jre\bin"

2. 使用下列命令變更 cacerts 信任存放區密碼。

   keytool.exe -storepasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts"

   注意：舊密碼為「changeit」。出現提示時輸入新密碼。

3. 在檔案 C：\Program Files\EMC\DPA\services_jre\lib\security\java.security 的結尾新增新行和新密碼：

   javax.net.ssl.trustStorePassword=<new password>

4. 使用以下命令變更新的 cacerts 別名密碼。

   keytool.exe -keypasswd -keystore "C:\Program Files\EMC\DPA\services_jre\lib\security\cacerts" -storepass PASSWORD -alias <cacerts alias> -keypass changeit -new PASSWORD

   其中密碼是在步驟 2 中建立的新密碼。

5. 重新啟動 DPA 應用程式。

為了提高安全性，cacerts 檔案權限也變更為 444。

進行這些變更後，安全性掃描軟體無法再偵測到安全性警示

cacerts 並非 DPA 通常使用的金鑰存放區 （apollo.keystore），其位於 /opt/emc/dpa/services/standalone/configuration 中。相反，cacerts 是一個單獨的信任存放區 （金鑰存放區），其中包含受信任認證機構 （CA） 憑證的集合。Oracle 將 cacerts 檔案及其 SSL 支援包含在 Java™ Secure Socket Extension （JSSE） 工具套件和 JDK 中。

針對目前的自我簽署憑證，DPA 不依賴信任存放區。但是，在存取遠端端點 （即 ESRS、備份應用程式或資料庫） 時，我們可能有依賴此信任存放區的其他第三方。如果遠端應用程式的證書由 CA 簽名，則會使用此信任庫進行驗證。