Насколько опасно совершать код с помощью текстовых паролей в общедоступной/незащищенной сети? Как правильно обрабатывать пароли в коде?

Question

Итак, моя компания использует облако Bitbucket для SCM, и я использую ScourceTree на своей рабочей станции для ноутбука. Я работаю над проектом кода, который изначально был написан кем-то другим, и в настоящее время программное обеспечение, над которым я работаю, использует файл конфигурации с открытым текстом для передачи информации о имени пользователя и пароле в программу, используемую для подключения к службам необходимо.

Теперь я не чужой факт, что это очень плохо, но мне еще предстоит выяснить это как сольного разработчика. (Хотя это определенно высокий приоритет).

Я хотел зафиксировать изменения в файле конфигурации сегодня, но я был нерешительным, поскольку я работал над незащищенной сетью в кафе. Это заставило меня задуматься: насколько безопасны большинство этих облачных сервисов кода (например, Bitbucket/Github) и насколько опасно это совершать такой код в общедоступной сети?

У меня есть удивительная способность работать удаленно и не хочу рисковать своей работой, подвергая свою компанию ненужному риску.

Поскольку я знаю, что простые текстовые пароли имеют тенденцию быть плохой идеей, мне также было интересно, как я должен исправлять эту проблему. Приложение, над которым я работаю, использует java, а пароли находятся в файле свойств. Есть ли Java-библиотека или утилита, о которой я должен знать (все еще немного новый для java).

Я надеялся, что это может быть общий ответ для начинающих, заинтересованных в том, как безопасно работать с паролями в коде (любого языка). Я тоже работаю на C++ и PHP, поэтому я был бы очень признателен за советы относительно того, как обрабатывать такие вещи на этих языках. Не нужны экстремальные особенности, просто ключевые слова для поиска. Являются ли библиотеки или утилит встроенными в языки?

Редактировать: Я знаю, что this SO question объясняет хороший способ обработки моей ситуации на Java, но a) вопрос о сетевой безопасности между Bitbucket/Github и SourceTree отличается и b) Я просил получить дополнительную информацию об общем лучшем практики на разных языках, а скорее JUST особенности java (хотя предоставленная ссылка была весьма полезна при обращении к конкретному Java-случаю).

Answer 1

Какое совпадение мы имели дело с аналогичной ситуацией на работе. То, как мы решили решить это, - это получить пароли для извлечения кода из файла внешнего текстового файла, который имеет значение , а не. (Добавьте его в .gitignore или еще лучше, но переместите его из исходного дерева.) Кто хочет использовать код и достаточно доверен, чтобы пароли понадобились для получения этого файла с помощью других средств, кроме git.

Если вы хотите место для безопасного хранения паролей, есть keepass, со сборками для окон и linux и некоторые его производные. Он поддерживает список логинов, и для каждой записи в списке есть опция «копировать пароль в буфер обмена». Через минуту он даже вытирает пароль из буфера обмена. Но тогда пароли, хранящиеся там, недоступны из кода.

Answer 2

1. Что касается сетевой проблемы, используйте VPN.

2. Что касается паролей, то уже давно принято практиковать не хранить фактические пароли ANYWHERE. Сохраните таблицу имени пользователя/пароля. Когда пароль сначала создается, хеш его и сохраняйте хэш. Когда пользователь входит в систему и вводит свой пароль, присваивает хэш и сравнивает его с сохраненным хэшем. Это обычная практика на протяжении десятилетий.