Где хранить секреты, чтобы их не нашёл пентестер.
Пентестеры регулярно находят учётки, API-ключи и сессионные токены в открытом виде: в исходниках, образах контейнеров, конфигах. Утёкший секрет может скомпрометировать один сервис или всю систему.
Переменные среды — простой шаг, но не панацея. Значения уходят из кода, но при взломе самого сервера переменные окружения видны атакующему.
HashiCorp Vault — более надёжный вариант. Пароли хранятся зашифрованными, доступ только через API.
Быстрый старт: положить бинарь в каталог из PATH, запустить vault server -dev (dev-режим инициализирует хранилище), появятся VAULT_ADDR и VAULT_TOKEN. Сохранить секрет: vault kv put трудовойпуть1 трудовойключ=значение. Прочитать: vault kv get трудовойпуть1. Список и удаление: vault kv list / delete.
Утечку секретов проще предотвратить, чем расследовать. Выносите их из кода заранее.
ВКонтакте
MAX