4

En Node se suelen tener los datos de configuración en un archivo llamado config.js del tipo:

module.exports = {
  host: 'hostname',
  user: 'god',
  pass: 'secret',
  port: 8888
}

Sin embargo, me preocupa la seguridad de esta información tan sensible.

Sé que la alternativa a esto es:

module.exports = {
    host: process.env.HOST || 'hostname',
    user: process.env.USER || 'god',
    pass: process.env.PASS || 'secret',
    port: process.env.PORT || 8888
    }

Aún así, hay información allí en caso de que no se definan las variables de entorno, por así llamarlas.

¿Existe otra alternativa más segura? o mejor aún, ¿Existe la posibilidad de que un intruso acceda al archivo config.js?

Los experimentados, ¿Qué alternativas usan para definir estas variables de configuración?

2
  • 1
    tienes una buena respuesta aquí
    – David Isla
    Commented el 11 ene. 2017 a las 17:00
  • la mayoria de mcvs lo hacen: joomla, drupal, limesurvey...
    – Rene Limon
    Commented el 11 ene. 2017 a las 17:49

2 respuestas 2

2

Yo no uso node, pero algo que hacemos es que los archivos de configuración estan fuera del document root para que no sean accesibles por la web. Por ejemplo si el document root esta en /web/docs/miweb, nosotros lo ponemos en /web/. La idea es que no se encuentren junto con los archivos que son accesibles por todo mundo.

0

Nada te impide colocar el archivo de configuración fuera del DocumentRoot, y, además, cifrarlo usando las propias funciones de Nodejs.

Es exactamente lo mismo que harías con cualquier otro lenguaje (PHP, Java, C#, ... ).

Al colocarlo fuera del directorio público, te proteges de tus propios errores. Al cifrarlo, te proteges de vulnerabilidades internas de Nodejs, actuales o futuras.

Y, dependiendo del nivel de paranoya que quieras, utilizas cualquiera de las múltiples técnicas de seguridad para datos críticos que existen: mantener los datos descifrados en memória el mínimo tiempo posible, varias capas de cifrado (cada una con un algorritmo / clave distinta ), utilizar servicios externos de almacenamiento de claves, ... a fin de cuentas, los datos de configuración no son mas que eso, datos, y puedes tratarlos como te plazca.

1
  • Gracias @Trauma por tu valiosa respuesta. Saludos
    – J.Correa
    Commented el 11 ene. 2017 a las 22:03

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.