加密存储在环境变量中的密码

Question

我有一个访问多个数据库的 NodeJS 应用程序。目前我已经使用dotenv 将数据库密码存储在环境变量中，以避免将它们保存在源代码中（并避免将它们提交到 repo）。

但是，这仍将密码以纯文本形式存储在位于服务器应用根目录中的 .env 文件中。如果服务器曾经被入侵，密码将在那里供某人用来直接连接到数据库。

解决这个问题的方法是，以某种方式加密密码，将加密的字符串保存在环境变量中，并让服务器（节点）在它们用于连接字符串之前对其进行解密..？

我相信，当某些东西被加密时，它总是可以被解密的。但是，这样做可以避免以纯文本形式存储密码，因此无法按原样使用它们来连接数据库。

npm 模块的推荐会很棒。我找到了crypto-js 和forge，但我不知道我应该使用什么。

这是一个专业的解决方案..？我应该使用什么类型的加密......？

Answer 1

只需首先加密您的密码并将其存储在 env 文件中，然后在需要时使用 crypto-js 对其进行解密。

var CryptoJS = require("crypto-js");
var data = "password";

var encrypted = CryptoJS.AES.encrypt(data, "my-secret");
console.log(encrypted.toString());

在环境中复制加密字符串和过去。

解密密码

var decrypted = CryptoJS.AES.decrypt(process.env.PASS, "my-secret");
var object = decrypted.toString(CryptoJS.enc.Utf8);

只有秘钥和JWT一样匹配才能解密。

Answer 2

你是对的，你根本不应该在生产中使用 dotenv。将所有“密钥”移动到您运行的机器上。大多数部署服务使用称为环境变量（heroku、AWS、Azure、Netlify）的东西，您可以在其中将它们标记为敏感。像 azure 这样的一些服务有一些特殊的服务，比如 Azure Key Vault，其中的密钥是加密的，可以通过 dev ops build 注入到项目中，也可以直接注入到 vps 或应用服务中。

如果您使用的是自定义 VPS 或类似的东西，那么您可以像任何常规 linux 机器变量一样设置它们，或者将环境变量添加到服务器启动方法或编辑您的 bashrc。

现在这样做的主要原因是实际上保护您免受存储库安全漏洞的影响。这就是为什么必须永远不要存储任何密钥或将 .env 文件保存到 repo 的原因。即使您加密了密钥，它们也会以纯文本形式存储在代码/仓库中的某处。

当有人通过升级或任何其他方法获得 root 权限时，你无法阻止他们阅读 bashrc 或查看服务器代码，所以基本上游戏结束了。

如果您担心自己的数据库，很可能您可以将 IP 列入白名单/黑名单或任何其他方式来限制来自外部来源的流量、加密数据库、确保项目中没有已知的漏洞、使用 ssl 连接、cors设置（基本上可以正确保护您的服务器）。

这里要介绍的重要主题是了解构建变量和运行时变量之间的区别。 Runtime vars 将被从 envs vars 调用注入，而 build 将被注入到最终代码中。

您可以添加加密作为另一层安全性，但前提是机密和密码分开保存。 Dotenv 文件只能用于本地开发。