Kun je een proxywachtwoord verbergen voor de beheerder van de cliënthost?
Kies een bereik voor proxyreferenties dat past bij de beheerders van de host waar het geheim wordt gebruikt.
‘Andere gebruikers buiten dit bestand houden’ en ‘het wachtwoord verbergen voor de mensen die deze server beheren’ zijn twee verschillende eisen.
Machtigingen, beheerde referenties en geredigeerde diagnostiek helpen bij het eerste. Ze beperken toevallige onthulling via configuratie, back-ups, commandoregels en omgevingsdumps.
Vraag voor het tweede wat die beheerders beheren. Linux-capabilities en confinement kunnen bepaalde rollen beperken. Wie de proxyclient kan vervangen, het opstarten kan wijzigen of de uitvoering kan inspecteren, is een andere tegenstander dan een gewoon account dat een bestand leest.
Een dienst moet de referentie uiteindelijk gebruiken. Hem versleutelen terwijl het bruikbare ontsleutelpad onder het beheer van dezelfde beheerder blijft, schept niet de ontbrekende grens.
Geef een onbeheerde machine een dienstreferentie met passend bereik, met aparte rotatie en intrekking. Als een handeling buiten de beheerders van die machine moet blijven, plaats die dan achter een apart beheerde grens. Blijf de lokaal opgeslagen kopie beschermen; beweer alleen niet dat de machtigingen beide eisen oplossen.