小太在上一篇文章（http://www.8btc.com/wallet-dat）中提到，把私钥和交易都存储到一个文件“wallet.dat”中，并不是一个好的解决方案，其根本原因就在于：
信息与信息是不同的！
比如，虽然都可以转化为纯文本格式的字符串，但32个字节的私钥信息与上百个字节的交易信息显然不同，私钥至关重要，必须保证绝对安全，交易数据则无所谓。
再如，同样都是私钥，您的上面可能没几个比特币，Tim Draper的却有几万个。

信息不同，存储方式和安全级别也就不同，上次讨论的是文件存储，今天小太再来和您聊聊内存中“敏感”信息的存储。
以 Java 语言为例，我们一般会这么写字符串对象的赋值语句：
String password = “bither.net”;
在使用完password之后，还可以给它赋上其它的值，或者设置为空：
password = “8btc.com”;
password = null;

对于大部分信息来说，这种写法没任何问题，但如果对象中存储的是私钥、密码等“敏感”信息呢？这就不够安全了，原因就在于：
Objects of type String are immutable, i.e., there are no methods defined that allow you to change (overwrite) or zero out the contents of a String after usage. This feature makes String objects unsuitable for storing security sensitive information such as user passwords.
（http://docs.oracle.com/javase/1.5.0/docs/guide/security/jce/JCERefGuide.html#PBEEx）
也就是说，String是immutable的。String password = “bither.net”; 这条语句执行后，无论您怎么给password变量再次赋值，”bither.net”这段内存都不会被覆写（只能等待操作系统的GC垃圾回收，而且，即便是垃圾回收了，也不能保证什么时候会被覆写），系统会新分配一段内存，在里面写上”8btc.com”，并赋值给password对象，而原来的”bither.net”其实还在内存中；

一般情况下，这种程度的“不够安全”问题不大，很少有人能“偷”走您内存中的数据，除非遇到像今年4月份爆出的“OpenSSL心血漏洞”这类的事件，攻击者就能利用此漏洞，每次从内存中读取多达64KB的数据，而如果正巧里面有“敏感”的信息，比如说您的私钥或用来加密私钥的密码，Boom！
“一般情况问题不大，出现问题的概率很低”，所有这些都不应成为使用不安全写法的理由。

那么，正确的写法又应该是怎样的呢？
请使用CharSequence(Char Array)，每次使用完成后，再循环的将您想清理掉的内容覆写一遍（比如说用空格，或者是随机数，小太的做法是一遍空格、一遍随机数、再一遍空格，虽有点小“强迫”，但为了安全，多写两行代码还是值得的）。
我们应让“敏感”信息在内存中的生命周期尽可能的短，分配内存、存入敏感信息、使用完成后马上覆写、清理，这样才能确保安全。
如果您阅读过一些Java或Android的源码，再看本文，就应该能明白为什么在很多有可能需要传入“敏感”信息的地方（如EditText等），底层使用的都是CharSequence（Char Array）、而不是String的原因了，虽然麻烦，但还是应该这么做。
正确使用字符串来存储“敏感”信息的完整代码，可参考比太开源项目中CharSequence的具体实现：SecureCharSequence（https://github.com/bither/bitherj/blob/master/bitherj/src/main/java/net/bither/bitherj/crypto/SecureCharSequence.java）

这样做的好处就是：即使遇到下一次的“OpenSSL心血漏洞”，您的比特币还是要比别人的安全上那么一点点！

小太在开发的过程中，学习和参考了业内的不少项目，可惜大家在这一点上大多都做错了，略有遗憾。

小太已给一些项目提交了issue，希望开发者们尽快改进，哪怕只是安全一点，也是值得的。
blockchain.info : https://github.com/blockchain/My-Wallet-Android/issues/10
Bitcoin Wallet : https://github.com/schildbach/bitcoin-wallet/issues/179
Mycelium : https://github.com/mycelium-com/wallet/issues/135

作者：比太钱包
官方微博：@比太钱包 http://weibo.com/bither
官网：http://bither.net
捐赠地址：1BsTwoMaX3aYx9Nc8GdgHZzzAGmG669bC3