Как безопасно хранить ключ аутентификации?

Question

[Taurus]

Есть небольшое приложение на php, которое подключается к внешнему сервису c использованием Bearer Authentication
и получает данные.
Заголовки при отправке

...
'headers' => [
                'Content-Type' => 'application/json',
                'Authorization' => 'Bearer ' . $key,
            ],
...

Приложение получает $key через web форму (method post).
Есть задача автоматизировать процесс получения данных, и запускать приложение по cron, например.
Хранить $key в открытом виде нельзя.
Необходимо сделать так, чтобы $key нельзя было ни при каких условиях расшифровать, даже если взломали сервер, получили все исходники и слили дамп базы и т.п.
Есть ли вообще способ безопасно постоянно хранить $key на сервере?

Comments

[FanatPHP]

если взломали сервер, то никак
если слили исходники то не хранить в исходниках
если слили базу, то не хранить в базе
если слили итп, то не хранить в итп

Л - логика

[FanatPHP]

Храните, в общем, в оперативке - шаред мемори, APC вот это вот всё - я не знаю что там сейчас пых поддерживает из коробки
От человека, который имеет доступ к серверу, не спасёт, но по крайней мере будет пропадать с выключением питания

[Gennady S]

Да, FanatPHP прав, на самом деле никакие ключи доступа и никак не защищаются. Есть попытки такую защиту реализовать, например, привязкой к определенному клиенту, вроде как Secure Cookies или шифрование для защиты от перехваты посередине, но фактически, ни один механизм защиты не спасает от взлома, если злоумышленник получил доступ к серверу или клиенту — он может воспользоваться любыми ключами доступа где бы то ни было хранимыми. Можно усложнить жизнь злоумышленнику, обновляя токены или, действительно, храня в памяти, но доступ к машине это последний рубеж.

Answer 1

[SagePtr]

Даже с точки зрения здравого смысла это невозможно. Даже если будете хитро шифровать ваш ключ, у скрипта он в конечном итоге окажется в открытом виде, никто не помешает злоумышленнику его перехватить в этот последний момент, когда он расшифрован.

Answer 2

[Everything_is_not_so_bad]

безопасно хранить ключ

Можно хранить в хранить в Hashicorp Vault, доступ по API.