保持祕密密鑰在Python中安全

Question

我知道這些問題已經單獨提出幾次，我發現的大多數答案是「Python不容易混淆，因爲這是語言的本質。如果您確實需要模糊處理，請使用其他工具「和」在某些時候您需要權衡「（請參閱How do I protect Python code和How to keep the OAuth consumer secret safe, and how to react when it's compromised?）。

但是，我剛剛製作了一個使用Twitter的API（因此需要OAuth）的小型Python應用程序。 OAuth需要消費者密碼，該密碼遠離用戶。該應用程序需要這些信息，但用戶不應該能夠輕鬆訪問它。如果這些信息不能被保護（並且我使用混淆和保護作爲同義詞，因爲我不知道其他方式），首先爲Python創建OAuth API有什麼意義？然後

的問題（S）是：

• 是否可以硬編碼在應用程序中的祕密，然後 混淆它以有效的方式？
• 如果不是，那麼在Python中使用OAuth的最佳方式是什麼？我曾經想過將應用程序的加密密碼與應用程序一起「傳送」出來，並使用硬編碼密鑰來恢復它，但問題仍然存在（如何保護密鑰）;讓消費者在服務器中保密，並讓應用程序在啓動時檢索它（如果信息未加密發送，則惡意攻擊者使用Wireshark並從網絡流量獲取用戶密碼比反編譯字節碼更容易，以及我如何確保我將該祕密發送給我的應用程序而不是惡意攻擊者？我知道任何形式的身份驗證都需要在應用程序端有祕密信息，問題依然存在）;兩者混合（讓服務器發送加密密鑰，與以前相同的問題）。基本問題是一樣的：如果不能隱藏重要信息，你怎麼能有一些祕密？

我也見過評論說應該對這些關鍵部分使用C/C++擴展，但我對此一無所知，所以如果這是答案，我會很感激一些額外的信息。

Answer 1

您可以使用大量的數據操作來編寫自己的簡單對稱隱藏函數，使其難以反轉。

Answer 2

如果您想在您擁有的服務器（或筆記本電腦）上進行部署，則可以將祕密存儲在env var或文件中。如果要部署給用戶，建議您或您的用戶應註冊API密鑰，生成ssl密鑰或類似密碼。

Answer 3

目前還不清楚爲什麼您需要將您的 OAuth密鑰與腳本一起運輸。這意味着任何人都可以訪問您的 Twitter帳戶，無論該密鑰本身是否在應用程序內部被混淆。

更典型的情況是您開發了一些Twitter客戶端，任何想在本地運行的人都必須先輸入自己的 OAuth令牌，然後才能運行它。您根本不需要對令牌進行硬編碼，並要求任何用戶提供令牌。