Come proteggere la password memorizzata in un file di configurazione? [duplicare]

3

Non sono sicuro che questa domanda sia stata posta prima qui, non sono stata in grado di trovarla. Quindi, sentiti libero di contrassegnarlo come duplicato, se è uno.

Ho uno strumento che usa una chiave privata. Il percorso e il nome della chiave privata verranno letti da un file di configurazione. La chiave privata è protetta da password e la password è anche memorizzata nello stesso file di configurazione (in testo normale).

Ora, le mie domande sono le seguenti: (a) È sicuro conservare la chiave privata normalmente sul disco se è crittografata usando una password e memorizzata? (b) Se "devo" memorizzare la password solo in un file di configurazione, è possibile che io eviti di memorizzarlo come testo normale? (Ho pensato allo scenario di crittografare il file di configurazione stesso, ma dove conservare la chiave utilizzata per crittografarlo?) (c) Dove posso archiviare il file di configurazione nei sistemi Linux / Windows in modo che il file di configurazione possa essere considerato sicuro e non accessibile ai normali utenti?

Le mie scuse se la domanda (s) sembra troppo ingenuo.

    
posta Jay 04.12.2012 - 06:02
fonte

1 risposta

5

In realtà questo non è un problema che la crittografia può risolvere. Non esiste una separazione di attendibilità, l'applicazione deve essere in grado di decrittografare le password per poterle utilizzare.

Quindi, come si proteggono le password memorizzate in un file di configurazione? Impedisce all'utente malintenzionato di leggere il file di configurazione!

  • Tieni il file di configurazione fuori dalla web root.
  • Assicurati che l'applicazione non subisca l'attraversamento della directory.
  • Disabilita file_priv sul tuo database MySQL.
  • Assicurati che solo la tua applicazione abbia accesso in lettura al file.
risposta data 04.12.2012 - 06:41
fonte

Leggi altre domande sui tag