GPGME: лучшие практики для автоматической расшифровки на сервере rails
Я хотел бы иметь возможность реализовать следующее поведение:
При запуске сервера Rails в производственной среде администратору следует задать пароль для производственного ключа GPG.
Фраза-пароль не должна храниться нигде, кроме оперативной памяти
Возможности дешифрования не должны быть доступны в задачах rake или консоли rails
Похоже, о gpg-agent не может быть и речи, поскольку любой процесс, запущенный тем же пользователем, с которым работает сервер rails, сможет дешифровать контент.
Обратный вызов парольной фразы для класса GPGME, запрашивающий парольную фразу, кажется лучшим решением (хотя его сложно реализовать из-за оболочки-start-stop-daemon в /etc/init.d/unicorn, которая захватывает stdin).
Я что-то пропустил? Есть ли дыры в безопасности с такой настройкой? Что было бы лучшим решением? Большое спасибо.