Лучшие практики хранения логинов/паролей/токенов?

Question

[Сергей Наломенко]

Уважаемое сообщество, подскажите, какие есть лучшие практики хранения пользовательских доступов (логинов, паролей, токенов и т. п.), которые используются, как пример, для доступа к какому-либо удалённому API и т. п.

Конфигурационные файлы не подходят (поскольку пользователь — динамическая запись в БД). Хеширование паролей тоже не подходит, поскольку в дальнейшем они используются для аутентификации в каком-либо удалённом API

Comments

[АртемЪ]

Да как удобно так и храните.

Хеширование паролей тоже не подходит

Каким боком хэширование вообще тут затесалось? Хэширование исключает хранение. Либо вы хэшируете, либо храните.

[Рональд Макдональд]

АртемЪ,

Хэширование исключает хранение.

Судя по всему, у нас тут очередной переворот в мире IT. Linux, хранящий хэшированные пароли пользователей, срочно переписывает код ядра, 99%-веб-сервисов в мире, хранящих хэши паролей своих юзеров в БД, срочно переосмысляет эту архитектуру из-за недальновидности своих инженеров, не знавших, что хэш - это не для хранения.

[АртемЪ]

Рональд Макдональд, Не понял - в чем проблема хранить хэш? Так делают большинство, это общепринятая практика.
С чего вы взяли что хэш не для хранения?

[acwartz]

АртемЪ, Рональд Макдональд, зачем хранить хэш? Его api и сторонние обвязки не понимают, им нужен RAW. Как хранить RAW?

[Рональд Макдональд]

АртемЪ,

Хэширование исключает хранение.

Не понял - в чем проблема хранить хэш?

Всё, я сломался.

[АртемЪ]

Рональд Макдональд, Вопрос задан о хранении пароля.
Если вы хэшировали пароль - хранят только хэш, пароль не хранят.
Поэтому хэширование исключает хранение пароля, иначе какой смысл хэшировать?

Answer 1

[Saboteur]

(поскольку пользователь — динамическая запись в БД)

Так в базе и храните.
шифруйте каким-нить AES256CBC и храните в виде base64 строки

Answer 2

[d'Ivan]

Рекомендуется использовать хранилища секретов наподобие Hashicorp Vault, хотя это и нетривиально:
https://habr.com/ru/post/306812/
https://habr.com/ru/post/536694/

Comments

[acwartz]

из серии "для хранения 1 пароля - купим форт-нокс".