IDやPasswordなどの秘密情報を平文でソースコードに埋め込まずに管理する方法

Question

※2020-03-31 12:22 タイトル変更（※旧タイトル：ID,PASS情報を暗号化してソースコードに埋め込む？利用する方法）

前提・実現したいこと

pythonからローカル環境下にあるDB(Postgres)に接続して、データを読み書きするスクリプトを作成しています。

ここで、スクリプト自体は、自動収集用PC上のスケジューラ（rundeckなど）で自動実行させるつもりなのですが、
接続定義情報（ipaddress,port,dbname,username,password）を、ソースコードに平文で直書きしてしまっています。

さすがにパスワードを平文のまま保存しておくのは衛生上好ましくないと思っており、何とかしたいと考えています。
が、不勉強でお恥ずかしながら、どのように実現すればよいのか、そもそもどう検索していいのかがよくわかりません。

セキュリティ関連の話は非常に奥が深く、そもそも自分に理解できるかどうかはさておき…、
一般的にこのような場合は、どのような実現方法が考えられるものなのでしょうか？
なにとぞご教示いただきたくよろしくお願いいたします。

ソースコードのイメージ

以下のような接続定義情報を記述しています。

    connection_config = {
        'host': '<ipaddress>',
        'port': '<port>',
        'database': '<dbname>',
        'user': '<username>',
        'password': '<password>',
    }
    engine = create_engine('postgresql://{user}:{password}@{host}:{port}/{database}'.format(**connection_config),echo=False)
    conn = psycopg2.connect(**connection_config)
    cur =conn.cursor()

以上、よろしくお願いいたします。

Comments

[akkman]

pythonに触れたことがないので、別言語の例でヒントになれば幸いです。

node.jsにはDB接続情報や各トークンなどをスクリプトファイルとは別の.envファイルに宣言します。

必要な時に.envファイルから環境変数を呼び出し、スクリプトファイルにはDB情報などは直接記述しないようにしてます。

Answer 1

そもそもですが、ID や Password などの秘密情報を平文でソースコードに埋め込む方法は特別問題のある方法ではありません。
（逆に、見られて問題のある環境だと、ほぼ保護はできません）

セキュリティの基本は「どのような攻撃」から「何を守るか」です。
何に対しての対策なのかを整理されたほうが良いです。

Comments

[marururu]

> セキュリティの基本は「どのような攻撃」から「何を守るか」です。

内輪の話だったのであまり考え切れていませんでした。
改めて考えてみると、セキュリティの脅威自体は正直あまりないような気がしてきました。実際、本ソースコードは開発チームしか見れないPC上に存在しており、公開されるようなソースコードではないですし、開発チームはみんな接続定義情報を知っているので、わざわざ暗号化する必要ないような気もします。.envに書くにしろ環境変数に書くにしろ、その情報のありかを、わかる人じゃないと見れない場所に置いておくことが重要であり、その場所がソースコード上か別のファイルの外出しされているかの違いしかないのかなとも感じてきました。

という諸々を考慮すると、マスタ情報の管理とかソースコードのメンテナンスという点で、個々のソースコードに情報を直書きしているのは将来的にちょっとしんどくなりそうだなぁ…という漠然な不安がありました。
したがって、質問のタイトルや概要から示されるような「セキュリティ」という観点ではなく、単純に情報の管理・運用の観点からの質問という意味合いが強いかもしれません。
ご指摘ありがとうございます。

Answer 2

いくつかの方法がありますが、私が使っているのは以下の2つの方法どちらかです

• 環境変数を使う
• 別の設定ファイル(ini, yml等)に分ける

環境変数を使う方法は多くのクラウドサービスでもサポートされていますし、 Env file (ファイル名 .env )に持たせて扱う方法が一般的になってきました。
環境変数にしろ、設定ファイルにしろ、大抵はそこにパスワードなどを平文で持たせるため、ソースコードとは別に管理する必要があります。

Pythonコードから環境変数を扱う場合、 https://pypi.org/project/python-decouple/ を利用すると便利です。

Comments

[marururu]

ご回答ありがとうございます。
一般的な手法を理解する一歩として、さらに勉強しようと思います。

Answer 3

パスワードはkeyringでOSが提供する仕組みの中に保管するのはいかがでしょうか？

Comments

[marururu]

OS側の仕組みとしてパスワード情報を保存しておいて、それを呼び出す形にするということでしょうか？
環境変数に保存するのと似てるような手法だと個人的にとらえました。この仕組みも勉強してみようと思います。
他の回答で指摘されていた通り、結局セキュリティの問題というよりはむしろ情報の所在や管理運用方法の課題を解決したいというところが質問者の意図だと感じたので、実現方法は諸々勘案して決めようと思います。ご回答ありがとうございました。