¿Es realmente seguro almacenar claves API en variables de entorno?

Si su computadora puede usar la API sin una contraseña, entonces la información debe almacenarse en algún lugar de su sistema. El punto de almacenarlo en la variable de entorno es hacerlo para que no lo ingreses en el control de versión junto con la fuente, sin embargo, lo ideal sería usar algo como un HSM o TPM para almacenar la API. clave de forma cifrada que puede recuperar mediante programación o almacenarla en un disco cifrado con las credenciales de la cuenta para el servicio o la aplicación que lo utiliza.

Personalmente, dudaría en utilizar variables de entorno, pero si solo le preocupa revelar accidentalmente la clave (y no la seguridad local para alguien con acceso a su caja), entonces es una opción para separar el código y las claves. , simplemente no es el mejor.

El uso de variables de entorno podría ser un mal consejo excepcional. Como se indica, las variables de entorno pueden revelarse en ciertas circunstancias, y dentro del mundo de PHP, por ejemplo, una página de phpinfo que se le puede pedir que proporcione como parte de un proceso de soporte a un tercero haría esto. También considere cómo y cuándo se establecerá la variable de entorno. Si se configura cuando se inicia el servidor web, la variable podría ser visible para el script cualquier que se ejecute. Cuando un pirata informático explota la debilidad de un sitio para depositar un script arbitrario que puede ejecutar (según estimaciones recientes, 10 de miles de sitios se infringen diariamente), pueden obtener la clave en cuestión de segundos. Si, por el contrario, la clave se configura desde un archivo dentro de una parte única e idealmente oscura de la base de código, y quizás mediante un código nativo o protegido, podría llevar mucho más tiempo antes de que el pirata informático pueda identificar la clave. Si tiene instalada una buena detección de intrusiones, también es muy probable que pueda bloquearlas antes de que hayan podido analizar su sitio para ubicar dónde se establece la clave. Divulgación: estoy asociado con ionCube.