曾有个同事不小心把项目代码给传到了 Github 上,导致代码里边的一个明文邮箱账号密码被利用,为此公司及个人都付出了沉重的代价。那么代码中的敏感信息该如何处理呢?本文将简单介绍一下我们的实践方法。
信息加密常见的有两类:
第一类无需解密:例如系统登录密码加密,通过加密算法对用户输入密码进行加密后存放在数据库中,用户再次登录时依然拿相同的加密算法对用户输入密码进行加密,拿加密后的结果和数据库中存放的结果做对比,整个过程中都不需要知道用户输入的原始密码是什么,MD5 是处理此类加密最常用的加密算法
第二类需要解密:例如我们写在项目代码中连接数据库的账号密码,项目代码中以密文方式存储,当需要连接数据库的时候,要对密文进行解密,拿到原始未加密的账号密码去连接数据库,与 MD5 单向加密不同,这类加密需要能对加密后的密文进行解密,此类加密方法目前最常用的加密算法为 RSA
我们这里考虑的是给配置文件里的敏感信息加密,也就是上边说的第二类情况,采用的也是 RSA 加密算法,关于 RSA 加密算法的详细内容自行 Google 下吧,这里不赘述,需要知道以下两点就可以了:
这里注意一个问题,拿到私钥就可以对加密字符串进行解密,那么这个秘钥肯定就不能放在项目代码中了,不然再遇到代码给传 Github 的情况就可以拿秘钥进行解密,失去了加密的意义了。这里我们的策略是秘钥统一由运维管理,直接放在生产服务器中,项目代理里配置路径可读取秘钥即可,避免秘钥因代码泄露而泄露。
RSA 加解密 python 脚本,可以直接使用此脚本生成 RSA 秘钥对,加密密码或者解密,当然也可以使用 OpenSSL 工具完成此操作
import binascii
from Cryptodome.PublicKey import RSA
from Cryptodome.Cipher import PKCS1_v1_5
class RsaCrypto():
'''RSA 加解密'''
def create_rsa_key(self):
'''生成 RSA 秘钥对'''
try:
key = RSA.generate(2048)
encrypted_key = key.exportKey(pkcs=8)
public_key = key.publickey().exportKey().decode('utf-8')
private_key = encrypted_key.decode('utf-8')
return {'state': 1, 'message': {'public_key': public_key, 'private_key': private_key}}
except Exception as err:
return {'state': 0, 'message': str(err)}
def encrypt(self, public_key, plaintext):
'''加密方法'''
try:
recipient_key = RSA.import_key(public_key)
cipher_rsa = PKCS1_v1_5.new(recipient_key)
en_data = cipher_rsa.encrypt(plaintext.encode('utf-8'))
hex_data = binascii.hexlify(en_data).decode('utf-8')
return {'state': 1, 'message': hex_data}
except Exception as err:
return {'state': 0, 'message': str(err)}
def decrypt(self, private_key, hex_data):
'''解密方法'''
try:
private_key = RSA.import_key(private_key)
cipher_rsa = PKCS1_v1_5.new(private_key)
en_data = binascii.unhexlify(hex_data.encode('utf-8'))
data = cipher_rsa.decrypt(en_data, None).decode('utf-8')
return {'state': 1, 'message': data}
except Exception as err:
return {'state': 0, 'message': str(err)}
if __name__ == '__main__':
print(RsaCrypto().create_rsa_key())
以数据库的密码管理为样例来介绍下我们的流程
秘钥跟代码分离,这样在整个过程中,开发、运维都无法接触到数据库密码,每个角色得到的信息都够用且最少,减少中间出错或泄露的可能
以上流程中,生成秘钥对和通过秘钥对密码进行加密我们已经在 web 端实现了这个功能,可以方便运维及 DBA 进行操作,界面如下:
以上界面为运维操作界面,可以生成秘钥、查看秘钥、下载秘钥
以上界面为 DBA 操作界面,可以选择秘钥并对密码进行加密生成加密后密文
两个界面按权限划分,运维只能看到第一个界面,DBA 只能看到第二个
如果你觉得文章对你有帮助,请转发分享给更多的人。如果你觉得读的不尽兴,推荐阅读以下文章:
这是一个专为移动设备优化的页面(即为了让你能够在 Google 搜索结果里秒开这个页面),如果你希望参与 V2EX 社区的讨论,你可以继续到 V2EX 上打开本讨论主题的完整版本。
V2EX 是创意工作者们的社区,是一个分享自己正在做的有趣事物、交流想法,可以遇见新朋友甚至新机会的地方。
V2EX is a community of developers, designers and creative people.