เลิกเก็บรหัสผ่านเป็น Plaintext บนเครื่องด้วยวิธีนี้
เผยเทคนิคจัดการ Secret และ API Key ในเครื่อง Local ด้วยโปรแกรมจัดการรหัสผ่านและ direnv เพื่อความปลอดภัย
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- เลิกเก็บ API Key หรือรหัสผ่านเป็นไฟล์ Plaintext บนดิสก์
- ใช้โปรแกรมจัดการรหัสผ่านเก็บข้อมูลแบบเข้ารหัส
- ดึงข้อมูลเข้า Environment Variable ชั่วคราวเฉพาะตอนใช้งาน
- ไม่ต้องแคช Session ไว้บนดิสก์เพื่อความปลอดภัยสูงสุด
การตั้งค่าสภาพแวดล้อมการพัฒนาในเครื่อง (Local Dev Setup) ของโปรแกรมเมอร์ส่วนใหญ่มักจบลงด้วยการเก็บข้อมูลสำคัญ เช่น API Key, คีย์คลาวด์ หรือรหัสผ่านฐานข้อมูล ไว้ในไฟล์ข้อความธรรมดา (Plaintext) บนฮาร์ดดิสก์แบบไม่มีกำหนดหมดอายุ ซึ่งข้อมูลเหล่านี้มักจะถูกปล่อยทิ้งไว้ในสภาพที่ถอดรหัสแล้วและรอเวลาถูกเข้าถึงโดยไม่มีการตรวจสอบตัวตนซ้ำในขณะใช้งาน
ทางออกที่ดีกว่าคือการเก็บข้อมูลลับเหล่านี้ไว้ในระบบที่สร้างมาเพื่อความปลอดภัยโดยเฉพาะอย่างโปรแกรมจัดการรหัสผ่าน (Password Manager) และดึงข้อมูลนั้นมาไว้ในตัวแปรสภาพแวดล้อม (Environment Variable) เฉพาะช่วงเวลาที่เปิดใช้งานหน้าต่างคำสั่ง (Shell Session) เท่านั้น โดยมีรหัสผ่านหลัก (Master Password) เป็นด่าน
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
การใช้งานโปรแกรมจัดการรหัสผ่านอย่าง Bitwarden ร่วมกับเครื่องมือจัดการสภาพแวดล้อม จะช่วยให้ข้อมูลลับไม่เคยถูกบันทึกลงบนดิสก์ในรูปแบบข้อความธรรมดา แต่จะถูกเก็บไว้ในสภาพเข้ารหัสภายใน Bitwarden และจะปรากฏเป็นตัวแปรสภาพแวดล้อมเฉพาะในไดเรกทอรีที่กำหนดตลอดอายุของเซสชัน หลังจากผ่านการปลดล็อกอย่างชัดเจนแล้วเท่านั้น
สำหรับขั้นตอนการใช้งาน สามารถจัดเก็บคีย์เป็นรายการล็อกอินปกติหรือโน้ตปลอดภัยใน Bitwarden เช่น ตั้งชื่อว่า aws-iam-keys พร้อมกำหนดฟิลด์กำหนดเองเป็น aws_access_key_id และ aws_secret_access_key นอกจากนี้ เครื่องมืออย่าง direnv จะทำการประมวลผลไฟล์ .envrc ใหม่เฉพาะเมื่อมีการเปลี่ยนไดเรกทอรีหรือแก้ไขไฟล์เท่านั้น ทำให้ไม่ต้องกังวลเรื่องการเขียนโค้ดเพิ่มเพื่อจัดการการแจ้งเตือน
การเก็บรหัสผ่านไว้ในไฟล์ข้อความธรรมดาถือเป็นช่องโหว่ด้านความปลอดภัยที่พบบ่อยที่สุดในการพัฒนาซอฟต์แวร์ การใช้เครื่องมือจัดการรหัสผ่านร่วมกับ Environment Variable แบบจำกัดขอบเขตช่วยลดพื้นที่เสี่ยงจากการถูกโจมตี (Attack Surface) ได้อย่างมีประสิทธิภาพ แม้จะต้องเสียเวลาป้อนรหัสผ่านหลักใหม่อีกครั้งในทุกแท็บเทอร์มินัลใหม่ แต่ก็แลกมาด้วยความปลอดภัยที่สูงขึ้นอย่างเห็นได้ชัด
แนวปฏิบัติในการรักษาความปลอดภัยสำหรับข้อมูลลับบนเครื่อง Local มีขั้นตอนสำคัญดังนี้:
- ตรวจสอบว่าข้อมูลลับเคยถูกถอดรหัสและทิ้งไว้บนดิสก์หรือไม่
- ใช้งานโปรแกรมจัดการรหัสผ่านร่วมกับการโหลดตัวแปรตามขอบเขตไดเรกทอรี
- จำกัดให้ข้อมูลลับอยู่ในหน่วยความจำเฉพาะระหว่างที่อยู่ในโปรเจกต์เท่านั้น
- หลีกเลี่ยงการแคชเซสชันการปลดล็อกลงบนไฟล์เพื่อป้องกันการรั่วไหล
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น