Où gérer le contenu le plus sensible que vous avez sous contrôle de version ?

Question

Est-ce que certains systèmes de contrôle de version permettent de spécifier des restrictions de sécurité au niveau de la ligne plutôt qu'au niveau du fichier? Je sais que ce serait horrible à maintenir. Si je ne voulais jamais autoriser certaines chaînes dans la base de données, devrais-je examiner la notion de hooks et gérer toutes les informations très sensibles dans cette couche de hook? Comment les hooks sont-ils répliqués d'un système à l'autre?

Mise à jour: Peut-être la meilleure façon de gérer cela est de chiffrer les données sensibles en PGP et ceux qui ne peuvent pas les décrypter seront laissés dans l'obscurité. Des avis à ce sujet? Probablement pas une bonne pratique d'un point de vue de sécurité.

Answer 1

Nous avons eu le même problème et avons décidé de le résoudre en mettant en place un deuxième référentiel.

Cela a commencé lorsque j'ai dû stocker nos fichiers de gestion de configuration dans un contrôle de version, qui contenait des informations sensibles. Il était logique de stocker également les données sensibles de nos applications à cet endroit.

Nous utilisions initialement les externals svn et les sous-modules git pour inclure les données sensibles, mais avons ensuite trouvé moins contraignant de simplement créer un lien symbolique vers un autre emplacement.

Il est également utile d'ajouter les ignores appropriés pour éviter que les mêmes fichiers ne soient jamais vérifiés dans le référentiel de développement. Depuis que nous faisons cela, personne n'a accidentellement vérifié quoi que ce soit de sensible.

Cela aide à essayer de maintenir les informations sensibles contenues dans un ensemble concis de fichiers de config -- je ne les répandrais pas, je les mettrais en un seul endroit et protéger cet endroit.

Answer 2

Peut-être devriez-vous séparer les chaînes, lignes et fonctions inquiétantes dans un fichier séparé (ou, encore mieux, des fichiers). De cette façon, vous pourrez simplement gérer le(s) fichier(s) en question.

Answer 3

Est-ce que certains systèmes de contrôle de version vous permettent de spécifier des restrictions de sécurité au niveau de la ligne plutôt qu'au niveau du fichier ?

Est-ce qu'un Système d'Exploitation vous permet de spécifier des restrictions de sécurité au niveau de la ligne plutôt qu'au niveau du fichier ? Probablement uniquement au sein de la NSA (et de ses amis).

La meilleure solution est d'encrypter tout fichier contenant des informations sensibles avant de l'ajouter au contrôle de version. Cela le protège également contre toute affichage accidentel, par exemple git diff pendant que quelqu'un regarde par-dessus votre épaule.

Answer 4

Subversion ne le permet pas et je ne pense pas que d'autres le fassent.

Answer 5

Vous pourriez exécuter des dépôts séparés et maintenir des contrôles plus stricts sur le dépôt contenant les données sensibles.