Ruby on Rails 3.2.13 - Brakeman - バージョン管理にセッションシークレットを含めないでください

Question

Railsアプリケーションのセキュリティに役立つ最新のBrakeman gemをインストールしました。

2つのサーバー（開発用と運用用）に複数のRailsアプリケーションがあります。私がBrakemanのレポートを自分のアプリケーションで実行したとき、彼らの多くはconfig/initializers/secret_token.rbに以下の高いセキュリティ上の脆弱性があると警告しました。

Session secret should not be included in version control near line 7 

私は数ヶ月前にBrakemanの古いバージョンを実行して以来、このエラーが発生したのは初めてのことです。

これまでにRailsは、の新しいアプリ名が実行されると自動的に秘密トークンを生成しました。私は今までそれを知らなかった。明らかにRailsはこのファイルを保護していません。アプリケーションをGithubに移動することに決めた場合、その情報はGithubの誰かがアプリケーションにアクセスできるようになります。現時点では私はGitHubにアップロードしていませんが、アプリケーションのセキュリティホールを閉じるために、config/initializers/secret_token.rbからsecure_tokenを移動する方法についての情報が必要です。

私が読んだ1つのブログ投稿では、秘密トークンをENV変数に注入することを提案しました。 config/initializers/secret_token.rbからconfig/environment.rbにステートメントを移動すると問題は解決しますか？もしそうなら、私はこのタスクをRails開発のタスクリストに追加します。

ご協力いただければ幸いです。

Answer 1

あなたが言及したように、私は秘密情報をENV変数に入れたとき、Brakemanのその特定のメッセージが私のために消されました。個人的には、これにはFigaroの宝石を使っていますが、dotenvも人気があります。

これに関して、あなたに関心のある他のいくつかのリソースは次のとおりです。

• コード気候ブログエントリ：コード気候Rails Insecure Defaultsブログエントリ
• のStackOverflowスレッド：What should be removed from public source control in Ruby on Rails?

Answer 2

セッションシークレットを別のファイルに移動することでどのような違いが生じるのかよくわかりません。基本的に、秘密トークンはパスワードのように扱われるべきです。

This blog post from Phusionは、展開時にセッションキーを提供するためのいくつかの異なるオプションについて説明します。