如何將加密信息存儲在公共DVCS存儲庫中？

Question

我有多個開發人員正在開發的項目。我們都使用同一個git倉庫。

目前，我不將生產服務器配置存儲在存儲庫中，因爲配置文件包含數據庫憑證。

我想開始將這些配置存儲在存儲庫中，所以我在考慮在將配置文件保存在DVCS中之前對其進行加密。

1. 你們認爲這個想法是什麼？
2. 怎麼會這樣做呢？

Answer 1

爲什麼這些祕密需要存儲在公共存儲庫中？

我會使用完全不同的機制來分發這些祕密，只有那些需要訪問它們的管理員才能訪問這些祕密。

Answer 2

我們對配置文件中的密碼進行了加密，應用程序使用在運行時交互輸入的密鑰對它們進行解密。由於我們使用的配置系統，只有配置解析器需要修改;應用程序代碼本身不需要更改。

其主要缺點是我們使用公鑰算法，以便任何人都可以爲配置文件加密一個值，但只有授權用戶才能解密它們。這使得加密值變得更大（我們使用2048位RSA密鑰，並使用Base-64進行編碼），並且在配置文件中有一些醜陋之處。

我們總是小心地將元數據與加密值一起編碼。這標識了加密密鑰，使用的算法以及算法所需的參數。這樣，我們可以優雅地更改鍵或算法，並在一段時間內進行遷移。