A mund ta fshehësh një fjalëkalim proxy nga administratori i hostit të klientit?
Zgjidhni një shtrirje kredencialesh proxy që përshtatet me administratorët që kontrollojnë hostin ku përdoret sekreti.
«T'i mbash përdoruesit e tjerë jashtë këtij skedari» dhe «ta fshehësh fjalëkalimin nga njerëzit që administrojnë këtë server» janë dy kërkesa të ndryshme.
Lejet, kredencialet e menaxhuara dhe diagnostika e redaktuar ndihmojnë për të parën. Ato zvogëlojnë zbulimin aksidental përmes konfigurimit, kopjeve rezervë, argumenteve të komandës dhe dump-eve të mjedisit.
Për të dytën, pyetni çfarë kontrollojnë ata administratorë. Aftësitë e Linux dhe izolimi mund të kufizojnë role të caktuara. Kush mund të zëvendësojë klientin proxy, të ndryshojë nisjen e tij ose të inspektojë ekzekutimin e tij është një kundërshtar tjetër nga një llogari e zakonshme që lexon një skedar.
Një shërbim duhet ta përdorë kredencialin në fund. Enkriptimi i tij duke lënë rrugën e dekriptimit të përdorshme nën kontrollin e të njëjtit administrator nuk krijon kufirin që mungon.
Jepini një makine pa mbikëqyrje një kredencial shërbimi me shtrirje të përshtatshme, me rrotullim dhe revokim të veçantë. Nëse një operacion duhet të mbetet përtej administratorëve të asaj makine, vendoseni pas një kufiri të administruar veçmas. Vazhdoni të mbroni kopjen e ruajtur lokalisht; thjesht mos pretendoni se lejet e saj zgjidhin të dyja kërkesat.