Как я могу удостовериться, что объект Java (содержащий криптографический материал) обнулен?

Мое беспокойство - то, что криптографические ключи и секреты, которыми управляет сборщик "мусора", могут быть скопированы и перемещены в памяти без zeroization.

Как возможное решение, это достаточно к:

public class Key {
  private char[] key;
  // ...
  protected void finalize() throws Throwable { 
    try {
      for(int k = 0; k < key.length; k++) {
        key[k] = '\0';
      }
    } catch (Exception e) {
      //...
    } finally {
      super.finalize();
    }
  }
  // ...
}

Править: Обратите внимание на то, что моя проблема расценивает не только zeroization копии чиновника на которую (ссылаются), объекта, но также и любых устаревших копий, которые, возможно, сделал сборщик "мусора", в то время как это переставляет память вокруг для эффективности скорости и пространства.

Самым простым примером является метка-и-развертка GC, где объекты отмечены, как 'ссылается', и затем все те объекты копируются в другой регион. Остальные - затем мусор и таким образом, они собраны. Когда копия происходит, который мог бы оставить остаточные ключевые данные, которыми не управляет больше сборщик "мусора" (потому что 'официальные' данные находятся в новом регионе).

Решающее испытание для этого было бы то, если Вы используете ключ в криптомодуле, обнуляете ключ, затем осматриваете все пространство процесса JVM, Вы не должны находить тот ключ.