Lze skrýt heslo proxy před správcem klientského hostitele?
Zvolte rozsah přihlašovacích údajů proxy, který odpovídá správcům hostitele, kde se tajemství používá.
„Udržet ostatní uživatele mimo tento soubor“ a „skrýt heslo před lidmi, kteří spravují tento server“ jsou dva různé požadavky.
S oprávněními, spravovanými přihlašovacími údaji a redigovanou diagnostikou pomůže to první. Snižují náhodné vyzrazení přes konfiguraci, zálohy, argumenty příkazů a výpisy prostředí.
U druhého se ptejte, co tito správci kontrolují. Linuxové schopnosti a omezení mohou zúžit určité role. Kdo může nahradit klienta proxy, změnit jeho spouštění nebo nahlédnout do jeho běhu, je jiný protivník než běžný účet, který čte soubor.
Služba musí přihlašovací údaj nakonec použít. Šifrování, které ponechá použitelnou cestu k dešifrování pod kontrolou téhož správce, chybějící hranici nevytvoří.
Dejte stroji bez dozoru přihlašovací údaj služby s vhodným rozsahem, se samostatnou rotací a odvoláním. Pokud musí nějaká operace zůstat mimo správce tohoto stroje, umístěte ji za samostatně spravovanou hranici. Dál chraňte místně uloženou kopii; jen netvrďte, že její oprávnění řeší oba požadavky.