Как хранить конфиги на сервере в зашифрованном виде?

Question

[at0m1x]

Обычно в проектах написанных на PHP, конфиги, например логин/пароль к БД MySQL, хранятся прямо в исходнике проекта.

Как сделать так, что бы они хранились вне исходника, где то на сервере, и в зашифрованном виде.

Comments

[d'Ivan]

Безопасно ли хранить данные аутентификации в открытом виде, для БД MySQL?

Answer 1

[Melkij]

А смысл?
Чтобы подключиться к базе, надо знать действительные логин/пароль. Значит код расшифровки будет здесь же доступен.
Если к базе подключаться не надо - то и конфига здесь не будет.

Answer 2

[Максим]

Если их нужно использовать, значит php должен иметь права на чтения. Если есть права на чтения, то как не шифруй, как не убирай, то они будут доступны для php. Другое дело, что их можно положить выше корня публичной части сайта, чтобы сервер случайно их не светил, хотя это по умолчанию для большинства современных фреймворков и cms.

Answer 3

[d'Ivan]

Вне зависимости от того где хранятся пароли, они однозначно не должны быть частью исходного кода и, следовательно, должны отсутствовать в репозитории кода. Пароли должен задавать сисадмин, своевременно обновлять их и заботиться о том, чтобы к ним не было несанкционированного доступа.
Пароли зашифровать - не сложный вопрос (надеюсь, не самописным алгоритмом и не каким-нибудь Base64). Зато вопрос в том, где хранится ключ для расшифровки и кто имеет к нему доступ.

Comments

[Ankhena]

Как в таком случае подключаться к БД?

[d'Ivan]

Ankhena W: в nginx можно задавать переменные окружения только с правами админа. В этой переменной можно хранить хеш пароля. При запуске веб-сервера у программы будет доступ к нему и с помощью него и OpenSSL можно расшифровать пароль и использовать его для подключения к СУБД.

Answer 4

[CityCat4]

Зачем так делать?
Движок сайта - не человек. У него нет мозгов, нет глаз, нет рук. У него только умение тупо выполнять инструкции, которые ему запрограммировали. Он должен подключиться к БД. Для этого он должен передать в движок БД логин и пароль, причем сделать он это должен в открытом тексте (теоретически есть возможность сначала поднять шифрованное соединение с БД, а потом уже по нему передавать логин-пароль, но так никто не делает). Для передачи пароля в открытом тексте он должен быть расшифрован, если хранился в шифрованном виде, причем никаких других ключей, меток, паролей и пр. - движок заполучить не имеет возможности, то есть шифрование должно быть обратимым. То есть имея на руках .php файл с функцией криптовки-декриптовки и зашифрованный пароль, запросто восстановить пароль оригинальный. Стоит ли тогда овчинка выделки?