¿La mejor manera de almacenar / recuperar archivos de claves confidenciales?

Sé que llego tarde a esto, pero podría beneficiar a otra persona que enfrenta este problema ahora.

Podrías hacer lo siguiente: - Poner una clave maestra en la base de datos. - Registre la clave real en el código repo, pero cifrada por la clave maestra. Esta clave ingresada podría estar en un archivo protegido por contraseña.

Hace unos meses, AWS ha creado un nuevo servicio llamado KMS (servicio de administración de claves). Se encargan de administrar la clave real y su clave maestra de manera segura y compatible.

Si entendí todo, creo que tienes dos escenarios (¡o más!)

Escenario 1

Podrías crear un script que continúe revisando las nuevas claves (encriptadas). Cada vez que detecta uno nuevo (¿detectado a través de hash?), Los descarga y configura todo para la compilación. Si se hace con python, sería menos de 30 líneas, tal vez incluso menos de 20.

Obs 1: El archivo que contiene la nueva clave debe estar cifrado. Puede usar uno simétrico como AES y el secreto se puede guardar con el agente.

Observación 2: el mejor método para la comprobación sería el servidor web que genera el hash y que solo lo envía a las solicitudes del agente.

Observación 3: el agente no debe descifrar la clave directamente en el disco. Puede darle un pequeño problema adicional, pero será mejor si solo descifra la clave de la memoria y luego realiza los cambios en los archivos necesarios.

Escenario 2

El agente comprueba el disco local en lugar de una ubicación web, buscando la nueva clave. Siempre que esté disponible, este robot lo coloca en el lugar correcto y limpia la ubicación de "comprobación", dejándolo preparado para la próxima actualización clave.

Puede actualizar esta clave a través de SCP / SFTP / OTHER_ENCRYPTED_OPTION y este proceso de carga podría automatizarse según sus necesidades.

En este método, no es necesario cifrar nada, excepto la carga de la nueva clave.

Puede dejar las claves en un sistema dedicado y proporcionar servicios de criptografía a través de la red . La clave para acceder a dichos servicios de criptografía se puede compartir con los desarrolladores, ya que solo se puede utilizar desde IP específicas. Un famoso proveedor de Internet hizo esto para los certificados SSL (olvidé su nombre).

Al enfrentar el mismo problema, finalmente decidí proporcionar las claves de cifrado a través de una API, cuando una aplicación lo solicita.

Esto tiene varias ventajas e inconvenientes:

• usted confía en algún tipo de contención / limitación. En mi caso, fue el filtrado de IP el que fue óptimo para la arquitectura en la que estábamos.
• existe el riesgo de suplantación de IP que debe ponderarse
• la API también me permitió proporcionar una configuración centralizada (enviada junto con las claves a solicitud)