Ẩn khóa bí mật trong kho công cộng

Question

Tôi đang làm việc trên ứng dụng javascript mã nguồn mở Tôi đang cố gắng giao tiếp với API của bên thứ ba (github cụ thể). Tôi đang cố giữ toàn bộ ứng dụng phía máy khách của mình, vì vậy tôi thực sự sẽ không có máy chủ để quay lại hoặc lưu trữ các tệp ẩn. Là một phần của quy trình OAuth, tôi cần phải cung cấp khóa bí mật được cung cấp cho khóa api của mình. Tôi không được phép xuất bản hoặc chia sẻ khóa này.

tôi đã đưa ra các giải pháp sau đây:

1. Mã hóa khóa bí mật sử dụng triple-DES và cụm từ mật khẩu.
2. Đặt phiên bản được mã hóa vào kho của tôi ở đâu đó.
3. Khi tôi cần xác thực qua Oauth, hãy nhắc cụm mật khẩu và khôi phục khóa bí mật.
4. Khi đã biết, lưu trữ bí mật trong bộ nhớ cục bộ để tránh các lời nhắc trong tương lai.

Tôi chủ yếu lưu trữ phiên bản đã thay đổi của khóa bí mật thứ. Tôi đoán tất cả điều này mua cho tôi là tôi phải nhận được mật khẩu từ người dùng thay vì chìa khóa đầy đủ. Nó sẽ dễ nhớ hơn một chút so với các byte ngẫu nhiên.

Tính năng này có đủ an toàn không? Nó không phải là một ứng dụng siêu quan trọng, nhưng tôi muốn làm hết sức mình để bảo vệ những điều mà tôi được bảo không chia sẻ. Có cách nào tốt hơn 3DES để mã hóa khóa theo cách ngược lại không?

Answer 1

Điều đó nghe có vẻ đủ để giữ bí mật điều gì đó; mặc dù Triple DES là một ít ngày.

Tôi sẽ sử dụng vòng X của SHA-256 để băm cụm mật khẩu, sau đó sử dụng hàm băm đó làm khóa AES-256.

Answer 2

Vấn đề với giải pháp này là ứng dụng phải chứa mã (và có thể là khóa) để giải mã nó. Giải pháp tốt nhất là không đưa vào kho lưu trữ.

Hầu hết các ứng dụng lưu trữ loại dữ liệu này trong tệp cấu hình bị bỏ qua bởi phần mềm điều khiển phiên bản. Sau đó bao gồm một tập tin cấu hình ví dụ với một khóa giả và hướng dẫn về cách đổi tên tập tin và có được một khóa api của riêng mình.

Một ví dụ điển hình về điều này là ở số wordpress's config file trong "Xác thực khóa và muối duy nhất". phần.