¿Cómo proteger la contraseña almacenada en un archivo de configuración? [duplicar]

3

No estoy seguro de si esta pregunta se ha hecho antes, no pude encontrarla. Por lo tanto, no dude en marcarlo como duplicado, si es uno.

Tengo una herramienta que usa una clave privada. La ruta y el nombre de la clave privada se leerán desde un archivo de configuración. La clave privada está protegida por contraseña y la contraseña también se almacena en el mismo archivo de configuración (en texto sin formato).

Ahora, mis preguntas son las siguientes: (a) ¿Es seguro almacenar la clave privada normalmente en el disco si se encripta con una contraseña y se almacena? (b) Si "tengo" que almacenar la contraseña solo en un archivo de configuración, ¿es posible que evite almacenarla en texto sin formato? (He pensado en el escenario de cifrar el archivo de configuración en sí, pero ¿dónde almacenar la clave utilizada para cifrarlo?) (c) ¿Dónde puedo almacenar el archivo de configuración en sistemas Linux / Windows para que el archivo de configuración pueda considerarse seguro y no accesible para los usuarios normales?

Mis disculpas si las preguntas suenan demasiado ingenuas.

    
pregunta Jay 04.12.2012 - 06:02
fuente

1 respuesta

5

En realidad, este no es un problema que la criptografía pueda resolver. No hay una separación de confianza, la aplicación debe poder descifrar las contraseñas para poder usarlas.

Entonces, ¿cómo protege las contraseñas almacenadas en un archivo de configuración? ¡Evita que el atacante lea el archivo de configuración!

  • Mantenga el archivo de configuración fuera de la raíz web.
  • Asegúrese de que su aplicación no sufra un cruce de directorios de formularios.
  • Deshabilite file_priv en su base de datos MySQL.
  • Asegúrese de que solo su aplicación tenga acceso de lectura al archivo.
respondido por el rook 04.12.2012 - 06:41
fuente

Lea otras preguntas en las etiquetas