Защита паролей приложений

Question

Каковы лучшие практики в защите паролей, которые используются в приложении? Например пароль для базы данных и других сервисов.

• простой текстовый пароль в VCS
• зашифрованный пароль в VCS, предоставить ключ расшифровки при запуске приложения
• инструмент для безопасного управления секретами, как Vault
• ???

Answer 1

Все сводится к двум вариантам:

1. настроить приложение с паролями при развертывании. Например, файл свойств, параметры командной строки или переменные env
2. извлекать пароли из безопасного хранилища паролей

И одно правило:

Доступ к рабочим паролям должен требовать тех же привилегий, что и изменение производственного приложения, использующего эти пароли. Например, пароли должны быть доступны только для приложения и сценария развертывания этого приложения.

Детали действительно зависят от вашей инфраструктуры и требований.