Безопасно ли хранить конфиденциальные данные в переменных окружения?

Question

[mkone112]

Я часто слышу, что хранить пароли в коде зло(что очевидно) и в качестве альтернативы предлагается хранить их в переменных окружения. Без сомнения это выглядит безопаснее, но насколько? Ведь получить переменные окружения процесса достаточно легко, и даже не нужен root.

Comments

[mkone112]

Пока пришел к выводу, что, переменные окружения решают не проблему безопасности хранения данных, а просто снижают(слегка) вероятность слить их в github по недосмотру.

[Станислав Бодро́в]

Dr. Bacon, Надо добавлять ещё одну сущность. Необходимую, т. е. не лишнюю -- ключ (ключи). Без которых код не получит доступ к данным.

Answer 1

[Aleksey]

Ведь получить переменные окружения процесса достаточно легко

Разве? Подкините мне переменных с тостера? Давно хочу в БД у них флаг is_super_super_admin. себе поставить.

На самом деле если злоумышленник уже зашёл на ваш сервер - нет никакой разницы где вы храните свои тайны. У него полный доступ к любым переменным.

Comments

[mkone112]

Понятно что полной безопасности не бывает. Но в этом же и суть иб - в том чтобы максимально затруднить доступ.

На самом деле если злоумышленник уже зашёл на ваш сервер - нет никакой разницы где вы храните свои тайны. У него полный доступ к любым переменным.

При условии что он получил рут.

Answer 2

[Иван Шумов]

Оба варианта не безопасны. В приложениях, запускающих инстанс (примерно все что не PHP) надо обязательно очищать их, предварительно сложив в память. В PHP и других языках, очищающих память по окончанию действия скрипта (на каждый запрос) - безопасности нет от слова совсем в рамках данного вопроса

Comments

[mkone112]

Так а что делать?

[Иван Шумов]

mkone112, делать невозможным обращение к этим данным ни с клиента ни с сервера.

[mkone112]

Иван Шумов, не понял. А зачем такие данные тогда нужны?

[Иван Шумов]

mkone112, я имел ввиду доступ пользователем. То есть в серверу (лучше виртуалке, а в идеале - контейнеру) не должно быть ни у кого физического доступа (на аров не ОС), а через интерфейс не должно быть уязвимостей, инъекций и других проблем из списка OWASP чтобы никто не проник

Answer 3

[Станислав Бодро́в]

Безопасно ли хранить конфиденциальные данные в переменных окружения?

Нет! Ноги от этого дела растут из 12 factors. Как это красиво победить, сам голову ломаю. Очень непростой вопрос. Эти чувствительные данные надо где-то хранить до деплоя, потом их передавать (безопасно) и удалять.

Ведь получить переменные окружения процесса достаточно легко, и даже не нужен root.

Команда printenv в пространстве пользователя и выгребай что хочешь.

Comments

[mkone112]

С языка сняли.

Answer 4

[Saboteur]

Конфиденциальные данные следует хранить не в переменных окружения а в окружении.
Если вы не используете внешние ваулты, то непосредственно на боевом сервере, доступ к которому защищен от посторонних.
1. Можно хранить просто в конфиг файле, который лежит на сервере.
2. Можно, в принципе, хранить в исходниках в шифрованном виде, а на боевом сервере хранить ключ для расшифровки, но первый вариант лучше.
3. Можно хранить и в переменных окружения, но зачем - они же должны считаться на боевом сервере из какого-то файла, а в этом случае почему бы бэкенду не считать их из файла напрямую? Но тут ситуация такая - чтобы злоумышленник получил переменные окружения он должен проникнуть на сервер либо взломать ваш код, а в этом случае уже не так важно как оно хранится. Другое дело, если на сервер могут зайти посторонние и вы провтыкаете с правами доступа на профайлы.

Comments

[mkone112]

Другое дело, если на сервер могут зайти посторонние и вы провтыкаете с правами доступа на профайлы.

Так это пожалуй и есть самый интересный кейс.

[Saboteur]

mkone112, чем же это он интересный?
Если кто-то посторонний заходит на ВАШ сервер, то как бы уже поздно спасать на нем переменные.

[mkone112]

Saboteur, смотря какие права удалось получить злоумышленнику, не всегда удается повышение привилегий до рута.

[Saboteur]

mkone112, А зачем сразу рут?
Или у тебя веб сервер от рута запущен?
Или приложение от рута запущено?
Или к базе только от рута подключаешься?

ЛЮБЫЕ права на боевой сервер не надо раздавать кому попало. Да и вообще никому.