Estoy utilizando AWS KMS para cifrar las credenciales de mi base de datos para el código de mi servidor Node. Esto significa, sin embargo, que tengo mis credenciales de perfil de AWS KMS en texto plano en las variables de entorno de mi servidor. En general, esto es bastante seguro, pero como lo entiendo todavía hay algunos riesgos, como se describe en mi pregunta anterior .
Esto está relacionado con mi pregunta anterior, pero ahora puedo ser más específico. Estoy especialmente preocupado por este punto:
- Las variables de entorno se transmiten a procesos secundarios, lo que permite un acceso no deseado. Esto rompe el principio de privilegio mínimo. Imagina que, como parte de tu aplicación, llamas a una herramienta de terceros para que realice alguna acción; de repente, esa herramienta de terceros tiene acceso a tu entorno, y Dios sabe qué hará con ella.
Básicamente, si un módulo malicioso se instaló accidentalmente desde Nodo, ¿cómo puedo evitar que obtenga acceso a mis claves de AWS y, por lo tanto, a mis claves de DB?
Alguien preguntó casi la misma pregunta dos Hace años, pero la respuesta es una solución solo para EC2. ¿Cómo maneja la gente esto genéricamente? Y tampoco es específico de AWS KMS. Si estuviera usando Hashicorp Vault o cualquier otro competidor, estoy seguro de que todavía tendría las credenciales de Vault almacenadas en algún lugar. ¿Cómo me las arreglo?