Java Java Web Service - Wo Zugangsdaten speichern?

Hallo zusammen,
ich habe derzeit einen Web Service entwickelt der unter anderem weitere Informationen von anderen Diensten aus dem Internet bezieht.
Hierzu werden API-Keys und andere Zugangsdaten für die jeweiligen Dienste benötigt.

Derzeit , während der Entwicklung, habe ich die Zugangsdaten (meine eigenen) in einer Properties-Datei abgelegt, wo sie wenn benötigt ausgelesen werden.

Nun ist aber die Frage wie die Zugangsdaten später abgespeichert werden sollen?
Soll ich auch später einfach weiter die eingegeben Zugangsdaten (über eine JSF HTML Seite) in diese Properties-Datei abspeichern? Wie sicher ist das und welche Alternativen gibt es hierzu?
Welche weitere Sicherheitsaspekte muss ich hierbei noch beachten, besonders da ich die Daten unverschlüsselt in der Properties Datei abspeichere?

Bin über jegliche Hilfe und Ratschläge erfreut

Thekal schrieb:

Derzeit , während der Entwicklung, habe ich die Zugangsdaten (meine eigenen) in einer Properties-Datei abgelegt, wo sie wenn benötigt ausgelesen werden.

Nun ist aber die Frage wie die Zugangsdaten später abgespeichert werden sollen?

Zum Vergrößern anklicken....

Üblicherweise liegen diese Daten in einer Datenbank, so man sie selbst verwaltet. Gibt genügend Dienste, die einem dies abnehmen.

Welchen Stack nutzt Du für die Entwicklung?

Thekal schrieb:

Soll ich auch später einfach weiter die eingegeben Zugangsdaten (über eine JSF HTML Seite) in diese Properties-Datei abspeichern?

Zum Vergrößern anklicken....

Wenn es funktioniert (Locking?) und Deine Anforderungen erfüllt - warum nicht?

Thekal schrieb:

Wie sicher ist das und welche Alternativen gibt es hierzu?

Zum Vergrößern anklicken....

Um zu bewerten, wie sicher Deine Anwendung ist, müsste man den Quelltext sehen. Spring Security und Apache Shiro wären z.B. zwei Projekte, um sowas umzusetzen.

Thekal schrieb:

Welche weitere Sicherheitsaspekte muss ich hierbei noch beachten, besonders da ich die Daten unverschlüsselt in der Properties Datei abspeichere?

Zum Vergrößern anklicken....

Die Datei darf nicht von außen abrufbar sein. Die Passwörter werden aber schon gehasht?

Properties-Datei ist ok, aber der Server muss gesichert werden. Wenn möglich, ssh deaktivieren oder beschränken (z.B. per chroot von wo aus die Datei nicht erreichbar ist). Allgemein alles unternehmen, um die Zahl der möglichen Angriffsvektoren zu minimieren (nicht benötigte Dienste deaktivieren, Benutzer-Verzeichnis verschlüsseln usw.).

Denn sobald Zugang mit erhöhten Rechten oder mit den Rechten des Webservers zum System erlangt wird, ist jeglicher Schutz gebrochen. Eine einfache Datei ist dann genauso unsicher wie jeder noch so geartete zusätzliche Schutzmechanismus, da der Angreifer auf die gleichen Daten Zugriff hat wie der Webserver, der sich bei diesem Schutzmechanismus authentifizieren muss.