по ряду причин:
1. так как секрет не хранится на диске, исключена утечка через бекапы и через физический доступ к жёсткому диску
2. ПО для сканирования ОЗУ требует рута, таким образом если злоумышленник получил доступ к той учётной записи из под которой запускается приложение, он может прочесть конфиг но не сможет прочесть секрет из ОЗУ
3. анализ дампа памяти требует большей квалификации чем чтение текстового файла
4. хранилища секретов могут создавать динамические секреты которые переодически меняются, таким образом даже если злоумышленник похитит секрет он не сможет им воспользоватся если не сделает это сразу
5. насколько помню в хашикорпе ещё можно отследить кто получает доступ к секретам. точно не помню как там это реализовано, но смысл в том что можно найти через кого произошла утечка и принять меры
Использование хранилища создаёт дополнительный слой защиты но не создаёт новых дыр, следовательно, использование этого подхода повышает безопасность а значит лучше использовать его.
Ваше мнение?
а что, его полезность кто-то отрицал?
1. так как секрет не хранится на диске, исключена утечка через бекапы и через физический доступ к жёсткому диску ну хз, сам-то Vault хранит секреты на диске
Но на другой машине. Изоляция. Да и к тому же они ещё и зашифрованы
Обсуждают сегодня