Ruby/Rails 웹 서버 환경의 구성 파일에 비밀번호를 안전하게 저장하려면 어떻게합니까?

Question

프로덕션 웹 서버에 지불 게이트웨이 프로세서 사용자 이름/암호 자격 증명을 저장해야하지만 일반 텍스트에서는 사용하지 않는 것이 좋습니다. 이러한 자격 증명을 저장하는 가장 좋은 방법은 무엇입니까? 이 정보를 암호화하고 해독하는 모범 사례가 있습니까?

Answer 1

이것은 전형적인 닭고기 계란 문제입니다. 키를 보호 할 수 없다면 암호화는 전혀 도움이되지 않습니다. 그리고 당신은 분명히 할 수 없습니다.

나는 다른 서비스/사용자가 인증 코드를 위해 해시를 사용하고 해당 해시를 저장하려고하는 것이 좋습니다. 그렇게하면 최악의 경우 해시를 잃어 버릴 수 있지만 나머지 설정에 따라 실제로 악의적으로 사용하기가 어려울 수 있습니다. 당신은 또한 해시를 제대로 소금물에 담그고 싶을 수도 있습니다.

해시를 사용할 수없는 경우 외부 인증 저장소를 사용하는 다른 가능성이 있습니다. 실제로 문제를 해결하는 것은 아니지만 중요한 데이터가 포함 된 실제 소스와의 구체적인 접촉 만 허용하여 공격 경로를 제어하고 더 안전하게 만들 수 있습니다.

Answer 2

1. 웹에 액세스 할 수있는 디렉토리 외부에 저장하십시오.
2. 앱 프로세스에만 읽기 권한이 있는지 확인하십시오.
3. Harden 서버.