بهعنوان یک توسعهدهنده داتنت، هنگام حفظ امنیت محیطهای کدنویسی خود، باید انتخابهای درستی داشته باشید. در مورد حفاظت از هویت و مدیریت دسترسی هیچ سازشی وجود ندارد، بنابراین باید ابزارهای امنیتی مناسب را در این فرآیند انتخاب کنید. این انتخاب همیشه آسان نیست.
پیکربندی برنامههای جدید مستلزم دسترسی به دادههایی است که عموماً محرمانه نیستند، اما برخی از این دادهها باید مخفی نگه داشته شوند. اینها می تواند شامل،
- کلیدهای API،
- اعتبار پایگاه داده،
- کلیدهای رمزگذاری،
- گواهی برای احراز هویت،
- تنظیمات پیکربندی حساس (آدرس ایمیل، نام های کاربری، پرچم های اشکال زدایی و غیره)،
- رمزهای عبور
مدیریت و محافظت از دسترسی به موارد فوق ممکن است به دلیل عدم وجود ادغام، دید محدود، یا گسترده بودن اسرار دلهره آور باشد. آیا پاسخی برای همه این مشکلات وجود دارد؟ بله - به آن مدیر مخفی گوگل می گویند.
Google Secret Manager چیست؟
گوگل مدیر مخفی را به عنوان «یک سیستم ذخیره سازی امن و راحت برای کلیدهای API، گذرواژه ها، گواهی ها و سایر داده های حساس توصیف می کند. Secret Manager یک مکان مرکزی و منبع واحد از حقیقت را برای مدیریت دسترسی و ممیزی اسرار در سراسر Google Cloud فراهم می کند.
این به شما امکان می دهد اسرار را به صورت حباب های باینری یا رشته های متنی ذخیره کنید و فقط کاربرانی که مجوزهای مناسب دارند می توانند آنها را مشاهده کنند. اسرار در یک فایل JSON در رایانه محلی شما ذخیره می شوند و از بررسی غیرمجاز یا تصادفی به کنترل منبع جلوگیری می کنند.
چرا آن را در کنترل منبع ذخیره نمی کنید؟
ASP.NET Core به شما این امکان را می دهد که بسته به محیط تنظیمات پیکربندی را مشخص کنید و به شما امکان می دهد محیط تولید خود را مستقیماً در فایل appSettings.Production.json پیکربندی کنید.
این یک گزینه خوب برای انواع خاصی از پیکربندی است. با این حال، این فایل در کنترل منبع بررسی میشود، بنابراین هرکسی که به آن دسترسی دارد میتواند پایگاه داده، سیستمهای شخص ثالث و هرگونه اطلاعات حساسی را که در فایل ذخیره میکنید مشاهده کند. آیا به همه توسعه دهندگان تیم خود اعتماد دارید؟ اگر این کار را می کنید - عالی است، اما به خاطر داشته باشید که رایانه های توسعه دهندگان نیز ممکن است به خطر بیفتند.
علاوه بر این، حتی اگر اطلاعاتی را در یک مخزن خصوصی در GitHub ذخیره می کنید، به این معنی نیست که اطلاعات شما به خوبی محافظت می شود. بافر، شرکت برنامهریزی رسانههای اجتماعی، آن را به سختی یاد گرفت. ابتدا، هکرها رمز عبور یک کارمند را دزدیدند و توکن های دسترسی را از یکی از پایگاه های داده آنها استخراج کردند و سپس به کلید مصرف کننده OAuth و راز مصرف کننده توییتر دسترسی پیدا کردند. آنها هرزنامه های زیادی را در حساب های رسانه های اجتماعی کاربران ارسال کردند - می توانید در مورد حماسه