Лучший способ безопасного хранения закрытого ключа учетной записи службы google?

Question

Я разрабатываю веб-приложение .NET MVC и использую учетную запись службы google для создания/удаления событий календаря для личных календарей пользователей. Я не уверен, что было бы лучшим способом защитить мой ключ аутентификации Google, чтобы доступ к нему имел только моя программа. В настоящее время это только в папке решения для тестирования.

Answer 1

"Best" является субъективным. Все, что я могу сказать вам варианты:

1. Положите его в Web.config как Setting App, а затем зашифровать раздел appSettings конфигурации. Это, наверное, самый безопасный маршрут, если не самый удобный.

2. Положите его в свой код. Разработчикам нередко приходится создавать статический класс Settings, который содержит различные биты информации, необходимые приложениям. Однако это означает, что это будет обычный текст в источнике. Это действительно проблема только в том случае, если вы планируете использовать свой код с открытым исходным кодом или иным образом хранить его в некотором месте, доступном для других (и это включает вредоносные другие, которые на самом деле не могут получить к нему доступ). Например, я бы рекомендовал размещать исходный код на сервере TFS или Git внутренне, за брандмауэром, а не на чем-то в Интернете или публично. Как только код будет скомпилирован, вы, очевидно, больше не будете иметь его в виде обычного текста. Однако, если кто-то получает доступ к скомпилированному коду, он все равно может декомпилировать его и потенциально найти строку. Чтобы защититься от этого, вы могли бы использовать любое количество программ обфускации.