Spring Data從文件庫或其他受保護的源讀取MongoDB密碼

Question

目前，我的spring-boot應用程序無需憑據即可連接到本地MongoDB。 為了能夠在客戶那里安裝它，我需要提供使用用戶名和密碼進行數據庫連接的功能。 我正在使用application.properties文件，該文件當前僅包含與數據庫相關的以下3行：

spring.data.mongodb.host=localhost
spring.data.mongodb.port=27017
spring.data.mongodb.database=myApp

還有另外兩個：

spring.data.mongodb.username
spring.data.mongodb.password

但是，當然，我不想在此文件中使用純文本格式的密碼，甚至不希望在我們的git中使用該密碼。 一種選擇是為它們提供一個啟動腳本作為參數，但是在過程細節中，它將再次作為純文本讀取。

我已經看到使用Jasypt在屬性文件中進行了一些加密，但是我不了解這種方法在我的情況下如何工作。 我從來沒有明確地使用這些屬性，因為它們會被spring自動進行連接。

什么是最安全的方法？

Answer 1

TL; 博士

這取決於您的安全性/風險配置文件，哪種方法可以接受。

閱讀時間更長

您的問題是：最安全的方法是什么？

這個問題的簡單答案不是將密碼存儲在任何地方，而是讓操作員輸入密碼。顯然，這不是您想要的答案，因為對於數據中心中的服務器甚至是雲中的VM，這種方法都不可行。

要了解哪種方法足夠安全，哪種方法可以接受，重要的是要了解您的組織環境，接受風險的意願以及由此產生的后果，這是處理機密的必要條件。 評估可以得出結論，對於一個組織而言，可以很好地將憑據存儲為純文本格式（因為環境受到保護或與暴露的機密相關的威脅很小），而其他組織則需要使用適當的密鑰管理和審核進行加密。

您已經在描述將憑證存儲在Git中是不合適的選擇。 因此，我假設您正在尋找一種以某種方式保護實際機密的方法。 保護可以在不同級別上進行：

• 應用訪問控制將機密存儲在受保護的地方
  • 主機上受訪問保護的環境變量
  • 受權限保護的訪問控制文件
• 以加密形式存儲機密
  • 加密值並將其存儲在文件中。 在這里，您需要考慮誰有權訪問此文件以及密鑰管理。 介紹了一些雞肉和雞蛋的問題
  • 加密該值並將其存儲在內存中。 盡管如此，您仍需要解決密鑰管理問題。
• 從可信來源檢索機密
  • 憑證由操作人員輸入（不太可行）
  • 要求服務為您提供證書。 遠程服務可以保護機密，並允許您/您的應用程序詢問機密。

潛在的可能性更多，但現在讓我們繼續使用。 與上述可能性相關聯的一方面是憑證從源到目標目的地的傳輸。 傳輸通常跨越一個到多個參與方，並且這些參與方中的每一個都需要以某種方式得到信任（即，您必須確保某個參與方不會泄露您的憑據）。 這種模式也稱為信任鏈。 如果信任鏈中的每一跳都是已知的，則不公開您的憑據，那么您可以對此上下文采取特定的保護模式。 如果您發現一個弱鏈接會增加暴露的風險（例如，公用文件夾，操作員查找），則您再次需要根據需要增加保護級別。

綜上所述，讓我們看一下使用Spring Boot應用秘密保護的可能性：

環境變量

您可以使用環境變量或系統屬性來存儲配置。 波動性方面與持久性（例如，基於文件的）存儲區分開來。 可以在應用程序啟動之前/啟動時設置變量。

環境變量示例：

export SPRING_DATA_MONGODB_USERNAME=…
export SPRING_DATA_MONGODB_PASSWORD=…

java -jar my-app.jar

系統屬性示例：

java -jar my-app.jar -Dspring.data.mongodb.username=… -Dspring.data.mongodb.password=…
java -jar my-app.jar --spring.data.mongodb.username=… --spring.data.mongodb.password=…

請注意， /proc文件系統和ps工具可以對環境變量/命令行進行自檢

有關更多詳細信息，請參見有關外部化配置的參考文檔。

加密的配置屬性

Spring Cloud附帶對單個屬性的加密支持。 您可以使用不同的密鑰和密鑰類型（對稱，非對稱）來加密選定的屬性。 這種方法使您可以選擇應加密的屬性，而無需加密整個文件。

環境變量示例：

application.properties

spring.data.mongodb.password={cipher}FKSAJDFGYOS8F7GLHAKERGFHLSAJ

請注意，此方法引入了屬性密鑰管理的要求。

有關更多詳細信息，請參閱有關Spring Cloud Config加密和解密的參考文檔。

應用程序控制的機密

Spring Boot中的配置屬性是從Environment獲取的，並由PropertySource提供。 在啟動Spring Boot之前，您可以提供屬性或整個PropertySource 。

添加PropertySource示例：

SpringApplication app = new SpringApplication(DemoApplication.class);
app.addInitializers(new ApplicationContextInitializer<ConfigurableApplicationContext>() {
    @Override
    public void initialize(ConfigurableApplicationContext applicationContext) {
        applicationContext.getEnvironment().getPropertySources().addFirst(…);
    }
});

app.run(args);

添加屬性的示例：

SpringApplication app = new SpringApplication(DemoApplication.class);
app.setDefaultProperties(Collections.singletonMap("spring.data.mongodb.password", "…"));

app.run(args);

遠程配置屬性

Spring Cloud Config允許您集中化由Spring Cloud Config Server服務的配置。 屬性不再存儲在本地，而是通過配置服務提供，該配置服務的安全性可以不同於應用程序保護級別。 要設置Spring Cloud Config Server，您需要額外的服務並將客戶端依賴項集成到您的應用程序中。

請注意，這種方法並不能解決整體問題，而只是將其移交給其他人負責。

有關更多詳細信息，請參見Spring Cloud Config Server上的參考文檔。

使用機密管理

如果您可以負擔諸如HashiCorp Vault，CredHub，Azure KeyVault，Kubernetes Secrets之類的Secrets Management，則可以利用平台/秘密管理系統的功能對憑據進行保護。

機密管理系統通常為您處理加密，審核和訪問控制。 這些系統保留憑證的加密副本。 一旦您請求了憑證（通常通過TLS安全連接），系統就會檢查您/您的應用程序是否被允許訪問該機密。

其中一些系統還提供動態機密。 根據需要為特定的應用程序實例生成動態機密。 如果您的應用程序要連接到MongoDB，則秘密管理系統將創建一個憑據對並將其存儲到您的應用程序中。 當您的應用程序停止時，秘密管理系統將撤消憑據。

有關更多詳細信息，請參見Spring Cloud Vault上的參考文檔。

Answer 2

@ mp911de的答案的一個附錄：

Spring Boot中還有第二個文件選項：您可以通過向文件提供ENV變量SPRING_CONFIG_ADDITIONAL_LOCATION或將其添加為命令屬性（例如spring.config.additional-location來提供一個覆蓋標准配置的附加文件。請參閱應用程序屬性文件 。

這可能使您有機會通過某些文件秘密部署（例如，用作volumeMount的Kubernetes秘密，基於Puppet / Chef / Ansible的秘密部署等）來添加憑據。