如何保护配置文件中的敏感信息,比如数据库密码

[cppc]

我们产品部署在甲方数据中心，同事(以下简称 A,算是项目经理)反馈甲方要求不得保存明文敏感信息：

• 各种密码、密钥都是敏感信息
• 存储位置包含磁盘文件、数据库

我提出方案有

1. 数据加密: 配置文件中的敏感信息加密保存,解密密钥保存在配置文件中。A 的意见:加密密钥也属于密码、密钥。
2. 用管分离: 使用密码库,配置中心之类的基础设施,我们拉取配置信息。A 的意见: 连接配置中心需要用户名 /口令,也是密码；配置中心连数据库需要数据密码，也是密码。

我不确定是 A 自己没有理解需求，还是甲方确实这么提出，这不就无限套娃么。

我们的客户是金融行业，请问这方面有无具体的技术规范？如果我的方案可行，要怎么样才具有说服力呢？

PS: A 坚持认为自己已经跟甲方沟通好了，不愿意再去询问具体要求

[tonzeng]

UKey 不是銀監會要求的嗎。。。

[kcross]

还不如做好权限管理 敏感操作做验证

[OldCarMan]

哈哈，看到你这问题和这几天发生的事情，突然想到一个有点不相关的事情，北方某大国或者西方某大国，关键时候都是某种密码箱随身带，这是不是侧面说明了，想完全去密码很难，不断的加密和解密，个人觉得某种意义上只是套娃，相对于这些，提供一个尽量安全的生产环境和严格的 IT 管理举措才是重点。（纯属联想和个人拙见，逃🐶）

[RickyC]

@xuanbg 密码本身就不安全；你能保证使用者自己不泄露吗？

[mpi2018]

客户金融行业，这种需求就是为了合规，密钥写死在代码里就行了

[wsgfz000]

之前线上环境我是写到对应机器的环境变量里的，写代码里因为 git 每个本地也会存代码，还是有比较大的风险。

放线上机器（内网，无公网 IP ）里，假设的是如果他都 hack 进内网的机器了，那他啥事干不了？

[zhujq]

@swulling 大哥过来人，我们之前也是这样搞的😄

[Jooooooooo]

搜 kms

[SSang]

用环境变量传呗（用 export ），只有部署时候需要用到，启动时候读完就写进内存，然后环境变量就失效了，但要是挂了就还得再手动部署

[tabris17]

存环境变量

[SSang]

而且我有个问题，楼上说的，解密密钥写代码，配置文件存密文，这不是一样没用吗
我好像不需要知道你怎么解密的，我只要知道密文然后传给你就好了
这不是和加盐，做 md5 、哈希什么的一样吗
可靠的加密应该只能是非对称加密吧，但这要求必须有权威认证机构

[SSang]

其实写死在环境变量也行，只要客户不知道怎么查环境变量，你就说，看文件里面没有，忽悠他就好了

[CapNemo]

如图

[kenvix]

这个需求就适合用 TPM 啊

[dotw2x]

Azure Key Vault 之类的服务好像比较适合这种场景，支持使用软件密钥加密，也支持 HSM 。

[aaniao002]

给你个建议，并不要纠结有没有意义，因为我甲也纠结了好久，规定就是这样的，你找个谁都别说的双向加解密算法，只要存密码文件是独立的，打开是没有明文密码的，加密算法是别人看不懂的就行。