設定ファイルをjson/CPickleに保存する際のセキュリティ上の問題

Question

データベース接続やその他の個人情報用の設定情報を設定ファイルに保存するための最も安全で柔軟な解決策を見つけようとしました。 これは、さまざまなハンドラ（mongodb、mysqldb、ファイルなど）にシステム内のユーザ活動の履歴を記録するためのPythonモジュールの内部にあります。

このロギングモジュールにはハンドラが付属しており、そこにはハンドラごとに設定ファイルをロードする必要があります。 I.

Webとstackoverflowに関するいくつかの調査の後、私はJsonとCPickleのセキュリティリスクの比較を主に見てきましたが、evalメソッドと型の制限については、configファイルストレージの問題。

ログオンハンドラがデータを読み込むサーバーに.json設定ファイルを持つ際にセキュリティ上のリスクがあるため、jsonに資格情報を格納することをお勧めします。私は、この.jsonファイルがhttp要求によって取得できることを知っています。パラメータが.pyコード内のPythonオブジェクトに格納されていると、このファイルの要求がサーバーによって最初に解釈されるため、セキュリティが強化されていると思いますが、モジュール化の柔軟性と簡単な変更が失われていますこのデータの

この種類の設定ファイルをサーバーに保存しているときや、Pythonクラスからアクセスするときに、このようなセキュリティ上の問題について何をお勧めしますか？ ありがとうございます。 ルクー。

Answer 1

資格情報ファイルを暗号化すると思います。それを使用するプロセスでは、それを解読するために鍵/パスワードが必要となり、それを他の場所に保存することも、サーバの起動時にインタラクティブに入力することもできます。そのようにすれば、単一の障害点はありません（もちろん、決定された侵入者は結局その断片を一緒に置くことができます）。

（当然あなたも、あなたの資格情報がちょうどhttpリクエストでフェッチすることができないように、サーバーを保護しようとする必要があります）