泡菜堆可以炒吗？

Question

对于自动化项目，我必须保留用户 ID/密码以允许我的脚本连接到远程服务。

我的想法是使用keyring 模块来实现更好的安全级别；但并非所有平台都支持密钥环；我也在考虑将凭据存储到平面文件中。我创建了一个“凭据”类；并认为使用pickle 我可以转储/加载该类的对象，例如：

def _store_to_file(credentials):
    from pickle import dump
    pkl = open('whatever.dat', 'wb')
    dump(credentials, pkl)
    pkl.close()

不幸的是，这个文件以纯文本形式泄露了密码：

S'_password'
p6
S'bla'

我了解由本地脚本存储的文件并不能提供真正的安全性。但我希望至少能达到这样一个点，即需要一个简单的“lesswhatever.dat”来获取密码文本。

我曾希望 pickle 有某种“争夺”模式；但找不到任何东西。我忽略了什么吗？

或者：是否有另一种方法可以轻松地持久化我的对象，但不是那么“易于人类阅读”？

Answer 1

你不应该。

在尝试保存密钥的安全加密副本的应用程序中，问题只是他们需要另一个密钥来解密它。它也可以通过需要另一个密钥来加密。它可以...（抱歉开玩笑:-)）。仅当您必须存储多个秘密时才有意义，因为您使用一个密码解锁安全保险库 - 密钥环和密码管理器所做的......

对于单个密码，正确且可移植的方法是依靠操作系统提供安全文件夹。 Linux（和类 Unix）都提供访问控制规则（仅用户可访问）或加密文件夹（如果您需要更好的安全性）。只需记录它并尊重single responsibility principle。

Answer 2

一个简单的解决方案；基于 Keef Baker 的评论——使用 AES 加密来加密密码/用户名；像这样：

class Credentials(object):

  def __init__(self, user, password):
      self._user = aes.encrypt(user)
      self._password = aes.encrypt(password)

  @property
  def user(self):
      return aes.decrypt(self._user)

  @property
  def password(self):
      return aes.decrypt(self._password)

  from Crypto.Cipher import AES
  aes = AES.new('This is a key123', AES.MODE_CBC, 'This is an IV456')