公開リポジトリの秘密鍵を非表示にする

Question

オープンソースのjavascriptアプリケーションで作業しています。サードパーティのAPI（特にgithub）とのインターフェイスを試行しています。私はアプリケーション全体をクライアント側だけに保つようにしているので、隠されたファイルを元に戻すか保存するサーバーは本当にありません。 OAuthプロセスの一環として、私のapiキー用に提供された秘密鍵を提供する必要があります。私はこの鍵を公表したり、共有したりするつもりはない。

私は、次の解決策が出ている：トリプルDESとパスフレーズを使用して秘密鍵を暗号化

1. 。
2. 暗号化されたバージョンを私のリポジトリのどこかに置きます。
3. Oauthで認証する必要がある場合は、パスフレーズの入力を求め、秘密鍵を回復してください。
4. 知られている場合、今後のプロンプトを避けるために、ローカルストレージに秘密を保管してください。

私は基本的に、秘密鍵の変換バージョンを保存しています。私はこのすべてを買っていると思うのは、フルキーの代わりにユーザーからパスフレーズを取得しなければならないということです。ランダムバイトよりも少し覚えやすいはずです。

これで十分ですか？それは超重大なアプリではありませんが、私が共有しないことを守るために最善を尽くしたいと思います。可逆な方法でキーを暗号化する3DESよりも良い方法はありますか？

Answer 1

これは、何か秘密を保持するのに十分な音です。トリプルDESは少し古いですが。

パスフレーズをハッシュするためにXラウンドのSHA-256を使用し、そのハッシュをAES-256キーとして使用します。

Answer 2

このソリューションの問題点は、アプリケーションがコードを解読するためにコード（場合によってはキー）を含んでいることです。最良の解決策はリポジトリに入れないことです。

ほとんどのアプリケーションは、このタイプのデータをバージョン管理ソフトウェアによって無視される設定ファイルに保存します。次に、偽のキーを含む設定ファイルの例とファイルの名前を変更し、独自のAPIキーを取得する方法について説明します。

この例の良い例は、「認証固有キーとソルト」のwordpress's config fileです。セクション。