Правило 24: Жестко закодированные учетные данные и управление секретами
Одним из самых распространенных способов, которыми хакеры компрометируют корпоративные серверы, является поиск API-ключей, паролей и токенов баз данных, оставленных прямо в исходном коде!
Если вы жестко закодируете секреты в своих скриптах, любой, у кого есть доступ к вашему GitHub или репозиторию, может получить полный контроль над вашей инфраструктурой. Чтобы обеспечить соблюдение Правила 24, вы должны внедрить следующие безопасные практики:
1️⃣ Переменные окружения (.env): Никогда не пишите пароли в свои основные файлы кода. Перенесите все чувствительные ключи в внешние конфигурационные файлы или переменные окружения, которые исключены из контроля версий с помощью .gitignore.
2️⃣ Используйте специализированные менеджеры секретов: Для производственных сред полагайтесь на корпоративные решения, такие как HashiCorp Vault, AWS Secrets Manager или Google Secret Manager. Эти инструменты автоматически шифруют и обновляют ключи.
3️⃣ Автоматизированное сканирование секретов: Интегрируйте автоматизированные сканеры (такие как GitGuardian или TruffleHog) в ваш рабочий процесс разработки, чтобы поймать любые случайно утекшие токены до того, как вы запушите свой код в сеть.
Исходный код предназначен для логики, а не для секретов! Держите свои ключи под замком. #BTC #solana
Одним из самых распространенных способов, которыми хакеры компрометируют корпоративные серверы, является поиск API-ключей, паролей и токенов баз данных, оставленных прямо в исходном коде!
Если вы жестко закодируете секреты в своих скриптах, любой, у кого есть доступ к вашему GitHub или репозиторию, может получить полный контроль над вашей инфраструктурой. Чтобы обеспечить соблюдение Правила 24, вы должны внедрить следующие безопасные практики:
1️⃣ Переменные окружения (.env): Никогда не пишите пароли в свои основные файлы кода. Перенесите все чувствительные ключи в внешние конфигурационные файлы или переменные окружения, которые исключены из контроля версий с помощью .gitignore.
2️⃣ Используйте специализированные менеджеры секретов: Для производственных сред полагайтесь на корпоративные решения, такие как HashiCorp Vault, AWS Secrets Manager или Google Secret Manager. Эти инструменты автоматически шифруют и обновляют ключи.
3️⃣ Автоматизированное сканирование секретов: Интегрируйте автоматизированные сканеры (такие как GitGuardian или TruffleHog) в ваш рабочий процесс разработки, чтобы поймать любые случайно утекшие токены до того, как вы запушите свой код в сеть.
Исходный код предназначен для логики, а не для секретов! Держите свои ключи под замком. #BTC #solana