ファイルをリモート環境に上げる際のパスワード等の機密情報の管理方法が知りたいです。

Question

pythonを使って銀行口座などから預金残高をスクレイピンするコードを書きました。
これをHerokuにあげてリモート環境で定期実行できるようにしたいです。
しかし、コード中にパスワードやユーザーIDを平打ちしているため、セキュリティ面で不安があります。
調べてみたところ、Herokuにアップする際に非公開領域にファイルを置けば他の人に覗かれることはないと認識しました。

わたしなりに調べてたどり着いたのが、iniファイルに機密情報をまとめて暗号化するという方法なのですが、実際に開発をする場合はどのような手段を取るのでしょうか？
独学で勉強しているため、セキュリティ面などの勉強が不足しているため、初歩的な質問になってしまい申し訳ありませんが、よろしくお願いいたします。

Comments

[m.ts10806]

そもそもその銀行口座はスクレイピングが許可されているものなのでしょうか。しかも定期実行させるとなると攻撃とみなされる可能性もあるのでは。

Answer 1

そもそもHeroku上にアップするメリットがわかりません。手元のパソコンやMacから起動したらどうでしょうか?

安全を期するのであれば、Hreoku上ではWebのポート（80, 443）を開放しないのはどうでしょうか。ただ、そうなると、ますます「なぜHeroku上で?」とはなります。

暗号化による対策は、Herokuサーバーに侵入された後の緩和策ではあるのですが、侵入されてしまうと暗号鍵も取られてしまうので、あまり暗号化に期待することはできません。サーバー自体を堅牢にすることが第一です。

Answer 2

どのようなサーバであっても、暗号化されたパスワードと、それを復号するコードをアップロードして実行していた場合に、そのサーバが悪意のある個人や組織に乗っ取られて情報が流出する危険はゼロにすることができません。

そして、そのようなことが起こった場合に、そのサーバの提供者も銀行もそれによって発生した損害を補償してくれることはありません。

結論

損害が発生する可能性があるなら、そういうことはやるべきではありません。