[閒聊] 如何在微。服務中儲存敏感資訊

看板NetSecurity (資安資訊安全)作者CMJ0121 (不要偷 Q)時間3年前 (2020/11/09 00:04)推噓0(0推 0噓 1→)

留言1則, 1人參與討論串1/1

一開始在 Python 板上看到有人提問之後 FB/Backend 版[1] 有人提出一串可能性原始的問題很簡單但是在開發中很容易遇到也就是在後端 Server 部分如何儲存資料庫的登入資訊或者第三方服務的認證資訊就實務上來說：敏感資訊可以是帳號、密碼、API Secret Key 等等在一開始開發過程中最常使用的應該就是 hard-code 寫死或者 command-line 輸入但是準備上到正式環境這種作法很顯然的是不被允許的 (如果貴單位有要求的話) 接下來的方式轉為透過外部設定檔 (e.g. staging.conf / production.conv) 各自切換適合的執行環境參數這也是有多種環境時會使用的一種技巧不巧的是當使用微。服務 (已 docker 為例) 就變成你 docker image 含有敏感資訊了能夠下載 docker image 的人同時擁有敏感資訊再者也是常見的方式則是透過環境變數讓執行程式可以獲取登入資訊但這樣的問題就會變成確保環境內的每個環節都要是可信任的最後也會有人試著在上述幾種方式中額外再針對敏感資訊進行第二次加密透過額外的加密來增加安全性 ---- 我個人是覺得透過資料庫限制來源 IP + 帳號、密碼保護就夠了怎樣傳遞帳號、密碼到 docker 環境的方式不要太蠢就好 (像是 hard-code 寫死...) 如果攻擊者能夠拿到 reverse-shell 那其實資料庫密碼也不是太重要如果僅能夠 dump 帳號、密碼的話用限制來源 IP 也可以滿足安全上的需求 [0]: https://www.facebook.com/groups/pythontw/permalink/10160690779908438/ [1]: https://www.facebook.com/photo/?fbid=10158521358918955&set=gm.2197133700420494 -- ※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 106.1.229.246 (臺灣) ※ 文章網址: https://www.ptt.cc/bbs/NetSecurity/M.1604851496.A.E43.html