公网虚拟机部署应用如何安全隐藏存储API密钥等敏感凭据

问题1：是否需要将敏感凭据移出业务代码，采用环境变量存储 #

答案是必须移出业务代码，硬编码敏感信息是最低级的安全错误，没有任何妥协空间：

• 硬编码的密钥会随着代码提交进入版本控制系统，不管是公开仓库还是私有仓库，一旦仓库权限泄露、日志泄露、协作人员权限管控不到位，所有敏感凭据会直接暴露，就算后续删除代码里的密钥，历史提交记录里的内容依然能被翻出来
• 硬编码会导致多环境（开发/测试/生产）的凭据无法隔离，很容易出现测试环境连生产数据库、测试密钥用到生产服务这类低级事故
• 环境变量是比硬编码更合理的基础方案，它能实现代码和配置分离，不同部署环境可以加载不同的凭据，不会把敏感信息和代码绑定在一起，但它不是最终的安全解决方案。

问题2：虚拟机本地存储环境变量是否有风险，是否需要使用独立的外部凭据存储 #

本地环境变量存储敏感信息存在明确安全风险，仅适合极小体量的非核心个人项目临时使用，正式生产环境强烈建议使用虚拟机外的独立凭据存储位置。

本地环境变量的核心风险点： #

• 一旦公网API存在RCE、任意文件读取等漏洞，或是SSH被爆破、服务器被入侵，攻击者可以直接通过读取进程环境信息（比如Linux下/proc/<服务进程PID>/environ）拿到所有密钥，几乎没有额外防护门槛
• 如果同台虚拟机部署了多个服务，系统权限配置不当的话，其他低权限服务可以越权读取目标服务的环境变量，扩大泄露面
• 运维排障时如果执行打印环境变量的操作，很容易把明文密钥打到操作日志、系统日志里，增加意外泄露的概率
• 多实例部署时密钥轮换成本极高，需要逐台登录机器修改环境变量、重启服务，很容易出现遗漏、配置不一致的问题

推荐的生产环境做法： #

• 优先使用独立的密钥管理服务存储所有敏感凭据，应用启动时通过绑定的实例身份、短期访问凭证拉取所需密钥，密钥仅在应用内存中使用，不落地到虚拟机本地磁盘
• 给密钥管理服务配置严格的最小权限规则：每个服务只能拉取自身需要的凭据，没有权限访问其他服务的密钥，同时开启密钥自动轮换能力，降低密钥泄露后的影响范围
• 如果暂时没有条件搭建独立密钥管理服务，也不要把密钥配置到全局环境变量文件（比如/etc/profile、用户目录下的.bashrc/.zshrc），可以单独创建仅服务运行用户可读的配置文件（文件权限设置为600），服务启动时从该文件加载配置，从一定程度上降低泄露风险
• 额外注意：不要在应用日志、接口错误返回中打印任何敏感凭据内容，公网实例要做好基础安全加固：关闭密码登录仅允许SSH密钥登录、定期打系统补丁、配置最小化的系统权限，从源头降低服务器被入侵的概率。

内容的提问来源于stack exchange，提问作者YT98