апи. Я его держу шифрованным в памяти, шифрование симметричное по ключу. При транзакции я ввожу ключ для расшифровки, сервер делает запрос с ключём и удаляет расшифрованный ключ из памяти.
Вопрос, сможет ли злоумышленник достать незашифрованный ключ с памяти, сделать дамп в тот момент и сможет ли сниффать траффик имея рут права. И насколько это сложно ему будет?
С рут правами все можно. Лучше их не давай и проблем не будет
а, ну и такой момент, даже если в сервак влезут и дамп снимут, зашифрованный пароль сложнее будет декодировать, если софт, его дешифрующий, не лежит там чистыми сорцами. Выше было обсуждение насчет бандлинга серверного кода, вот собственно и еще один плюс. Бандлишь и каким-нибудь аглифаем/минифаем пробегаешься - уже +1% к защищенности. Хакер просто не станет ебаться с твоими защитами, ибо профита он скорее всего получит немного (если только ты не свифт какой-нибудь мейнтейнишь).
Сервер на nodejs?
Обсуждают сегодня