Soll ich zur Versionskontrolle Keystore-Dateien hinzufügen?

2

Gibt es einen Grund, Keystore-Dateien nicht in der Versionskontrolle zu speichern? Besteht ein Sicherheitsrisiko?

security version-control ssh-keys Styler
quelle

Antworten:

3

Du solltest nicht Speichern Sie Keystore-Dateien in Ihrem Versionskontroll-Repository, da hierbei ein erhebliches Sicherheitsrisiko besteht. Das Problem ist nicht wie viel eines risikos ist es aber eher die Tatsache, dass es nur eine nicht notwendig Risiko, vor allem, wenn Best Practices Sie diktieren sollte nicht Fügen Sie Sicherheitsberechtigungen in Ihrem Quellcode / Repository hinzu (halten Sie Code- und Anwendungslogik getrennt von Daten).

In Bezug auf den Schweregrad ist dies eine enorm Sicherheitsrisiko, Best Practices beiseite. Es wurden bereits mehrere Tools von Drittanbietern entwickelt, um private Schlüssel aus einem vorhandenen Schlüsselspeicher zu extrahieren (zwei bemerkenswerte Beispiele) jksExportKey und KeyStore Explorer Beachten Sie jedoch, dass auch mehrere andere Tools vorhanden sind.

Breakthrough
quelle
Wie wäre es mit einer verschlüsselten Keystore-Datei? openssl enc -aes-256-cbc ?
Styler
@Styler Ich würde dann fragen, warum genau Sie AES-verschlüsselte Daten unter Versionskontrolle halten möchten (ganz zu schweigen von der zufälligen Natur der Daten wäre für die meisten VCS-Programme äußerst ineffizient, und alle Unterschiede zwischen Commits würden einfach groß aussehen zufällige Datenmenge).
Breakthrough
Ich möchte das nicht, aber das CI-Tool erlaubt keine lokale Speicherung von Dateien, und ich muss dem Build-Tool auf dieser Box einen Keystore geben.
Styler
@Styler zugegeben, das ist jetzt aus meiner Tiefe / Bereich heraus. Wenn Sie das nur für tun Entwicklung und nicht die Produktion, die Verwendung eines Test - Keystores oder die Bereitstellung einer Standard mit dem Code, dann können Sie vielleicht die Aufnahme begründen. Ich denke nur, dass es wichtig ist zu betonen, dass das Einfügen von Anmeldeinformationen in die Versionskontrolle eine schlechte Praxis ist, sowohl aufgrund der Sicherheitsrisiken als auch aufgrund der Ineffizienz der Versionskontrolle, die mit binären Daten zu tun hat.
Breakthrough