Где хранить данные?

Question

У меня есть 2 приложения NodeJS, и они обмениваются некоторыми данными. Данные шифруются через AES. В настоящий момент AES KEY жестко закодирован в коде javascript на клиенте и на сервере.

Вопрос в том, что такое лучшая практика? Где я могу хранить ключи на клиенте/сервере? Оба приложения - это 100% консольные приложения. (без взаимодействия с пользователем/браузером).

UPDATE: Я использовал термины client/server. Потому что - мне и в отношении приложения. логики его отношение сервер/клиент. НО, но приложения. буквально работают на двух отдельных экземплярах сервера AWS. Я даже могу сделать IP-ограничения между двумя экземплярами. Таким образом, никто не должен иметь доступ к экземплярам, ​​другим из которых является учетная запись AWS RDP, а через порты два экземпляра - это передача через ...

Они обмениваются данными через соединение через веб-сокет, а иногда они также получают доступ к API HTTP, работающему на третий экземпляр ... вот и все ... так безопасно ли это, чтобы ключи были жестко закодированы или где их разместить?

Answer 1

У вас должен быть случайный ключ, а не фиксированный, потому что, если кто его схватит, тогда они могут использовать человека в средней атаке.

Попробуйте создать ключ на сервере и отправить его клиенту. На клиенте вы храните это где-нибудь (желательно в области), а когда вам нужно читать или писать сообщения, вы можете просто использовать это.

Кроме того, у вас должен быть другой ключ для каждого клиента, и, если это возможно, вы должны регулярно менять ключи.

Все в значительной степени с открытым исходным кодом, если вы знаете, как его преобразовать, даже с обфускаторами (вы почти всегда можете деобфусить). Наличие жесткого кодированного ключа так же полезно, как и отсутствие ключа.