Bảo mật tệp tin cấu hình nhạy cảm tránh bị lộ lọt

Để bảo mật tệp cấu hình nhạy cảm, hãy tách bí mật (mật khẩu, khóa API, khóa ký) khỏi mã nguồn, không bao giờ đưa chúng vào kho Git, đặt tệp cấu hình ngoài thư mục web công khai, phân quyền đọc tối thiểu, và ưu tiên dùng dịch vụ quản lý bí mật cho môi trường sản xuất. Khi một bí mật đã lộ, xóa tệp thôi là không đủ; bạn phải thu hồi và cấp lại bí mật đó.

Tệp cấu hình nhạy cảm gồm những gì

• Tệp biến môi trường như .env, .env.production.
• Tệp cấu hình ứng dụng: config.php, settings.py, appsettings.json, application.yml.
• Tệp chứa khóa riêng: khóa SSH, khóa TLS, tệp tài khoản dịch vụ đám mây dạng JSON.
• Tệp thông tin đăng nhập công cụ: cấu hình CLI đám mây, .npmrc, .pypirc, .git-credentials.
• Tệp sao lưu và bản tạm: config.php.bak, config.old, tệp swap của trình soạn thảo, bản dump cơ sở dữ liệu.

Nhóm cuối cùng hay bị quên nhất: lập trình viên sửa cấu hình trực tiếp trên máy chủ, trình soạn thảo để lại bản sao với đuôi khác, và máy chủ web phục vụ nó như tệp văn bản thường.

Các con đường lộ lọt phổ biến

Nguyên tắc 1: Bí mật không thuộc về mã nguồn

Mã nguồn được chia sẻ, sao chép, lưu trữ ở nhiều nơi; bí mật thì không nên. Ứng dụng nên đọc cấu hình nhạy cảm từ biến môi trường hoặc dịch vụ quản lý bí mật lúc chạy. Kho mã chỉ chứa tệp mẫu như .env.example với giá trị giả để người mới biết cần khai báo gì.

• Thêm .env, tệp khóa, thư mục cấu hình cục bộ vào .gitignore ngay từ commit đầu tiên.
• Dùng công cụ quét bí mật ở pre-commit hook để chặn commit chứa chuỗi giống khóa.
• Bật tính năng quét bí mật của nền tảng lưu trữ mã nếu có.

Nguyên tắc 2: Tệp cấu hình nằm ngoài vùng web

Cấu trúc thư mục nên tách rõ: thư mục public chỉ chứa tệp cần phục vụ (index, CSS, JS, ảnh), còn mã nguồn và cấu hình nằm một cấp phía trên. Bổ sung quy tắc ở web server để từ chối mọi yêu cầu tới tệp bắt đầu bằng dấu chấm (.env, .git, .htpasswd) và các đuôi sao lưu (.bak, .old, .swp, .sql).

Không triển khai bằng cách git clone trực tiếp vào thư mục web. Nếu bắt buộc, chặn truy cập thư mục .git ở cấu hình máy chủ.

Nguyên tắc 3: Phân quyền tối thiểu

• Tệp cấu hình chỉ cho phép tài khoản chạy ứng dụng đọc, không cho người dùng khác trên máy.
• Tài khoản cơ sở dữ liệu trong cấu hình chỉ có quyền cần thiết, không dùng tài khoản quản trị.
• Khóa API đám mây giới hạn đúng dịch vụ, đúng tài nguyên mà ứng dụng cần.
• Tách bí mật theo môi trường: lộ khóa môi trường thử nghiệm không ảnh hưởng sản xuất.

Nguyên tắc 4: Dùng công cụ quản lý bí mật

Với hệ thống có nhiều dịch vụ, nhiều máy chủ, quản lý bí mật bằng tệp trở nên khó kiểm soát. Các dịch vụ quản lý bí mật của nhà cung cấp đám mây hoặc giải pháp mã nguồn mở cho phép lưu bí mật mã hóa, phân quyền truy cập theo dịch vụ, ghi nhật ký ai đọc gì, và hỗ trợ luân chuyển tự động. Trong Kubernetes, nên mã hóa Secret khi lưu trữ và giới hạn quyền đọc chúng.

Nguyên tắc 5: Tắt chế độ gỡ lỗi ở sản xuất

Trang lỗi chi tiết của framework có thể hiển thị biến môi trường, đường dẫn, truy vấn SQL. Bảo đảm chế độ debug tắt ở môi trường sản xuất và lỗi chỉ hiển thị thông báo chung cho người dùng.

Khi bí mật đã bị lộ

1. Thu hồi ngay: vô hiệu hóa khóa, đổi mật khẩu, tạo khóa mới. Đây là bước quan trọng nhất và phải làm trước.
2. Kiểm tra lạm dụng: xem nhật ký của dịch vụ liên quan để biết khóa đã bị dùng chưa, dùng làm gì. Tài khoản đám mây bị lộ khóa thường bị dùng để chạy máy đào tiền mã hóa, xem thêm bài phát hiện đào coin trộm.
3. Dọn lịch sử: dùng công cụ viết lại lịch sử Git để xóa bí mật, nhưng nhớ rằng bản sao, fork, bộ nhớ đệm có thể vẫn còn, nên bước thu hồi mới là quyết định.
4. Tìm nguyên nhân: sửa quy trình để không lặp lại, ví dụ thêm hook quét bí mật.

Cơ sở dữ liệu là đích đến phổ biến khi chuỗi kết nối bị lộ. Mã hóa dữ liệu ở cấp cơ sở dữ liệu giúp giảm thiệt hại trong tình huống này, như phân tích trong bài nguyên tắc mã hóa cơ sở dữ liệu.

Đưa vào quy trình rà soát

Kiểm tra tệp cấu hình nên là một mục cố định trong danh sách rà soát trước khi phát hành: thử truy cập /.env, /.git/config, /config.php.bak trên môi trường thật; xem tệp nào được đóng gói vào image; kiểm tra log CI có in bí mật không. Danh sách đầy đủ hơn có trong bài các bước rà soát lỗ hổng bảo mật ứng dụng. Đây cũng là một trong các nguyên tắc nền tảng của lập trình an toàn.