Kan du skjule et proxy-passord for administratoren av klientverten?
Velg et omfang for proxy-påloggingsinformasjon som passer administratorene som styrer verten der hemmeligheten brukes.
«Holde andre brukere ute av denne filen» og «skjule passordet for dem som administrerer denne serveren» er to forskjellige krav.
Tillatelser, administrert påloggingsinformasjon og redigert diagnostikk hjelper med det første. De reduserer utilsiktet avsløring gjennom konfigurasjon, sikkerhetskopier, kommandoparametere og miljødumper.
For det andre, spør hva disse administratorene kontrollerer. Linux-kapabiliteter og inneslutning kan begrense bestemte roller. Den som kan bytte ut proxyklienten, endre oppstarten eller inspisere kjøringen, er en annen motstander enn en vanlig konto som leser en fil.
En tjeneste må til slutt bruke påloggingsinformasjonen. Å kryptere den mens den brukbare dekrypteringsveien blir liggende under den samme administratorens kontroll skaper ikke den manglende grensen.
Gi en uovervåket maskin påloggingsinformasjon for tjenesten med passende omfang, med separat rotasjon og tilbakekalling. Hvis en operasjon må ligge utenfor administratorene på den maskinen, plasser den bak en separat administrert grense. Fortsett å beskytte den lokalt lagrede kopien; bare ikke påstå at tillatelsene dens løser begge kravene.