如何将加密信息存储在公共DVCS存储库中？

Question

我有多个开发人员正在开发的项目。我们都使用同一个git仓库。

目前，我不将生产服务器配置存储在存储库中，因为配置文件包含数据库凭证。

我想开始将这些配置存储在存储库中，所以我在考虑在将配置文件保存在DVCS中之前对其进行加密。

1. 你们认为这个想法是什么？
2. 怎么会这样做呢？

Answer 1

为什么这些秘密需要存储在公共存储库中？

我会使用完全不同的机制来分发这些秘密，只有那些需要访问它们的管理员才能访问这些秘密。

Answer 2

我们对配置文件中的密码进行了加密，应用程序使用在运行时交互输入的密钥对它们进行解密。由于我们使用的配置系统，只有配置解析器需要修改;应用程序代码本身不需要更改。

其主要缺点是我们使用公钥算法，以便任何人都可以为配置文件加密一个值，但只有授权用户才能解密它们。这使得加密值变得更大（我们使用2048位RSA密钥，并使用Base-64进行编码），并且在配置文件中有一些丑陋之处。

我们总是小心地将元数据与加密值一起编码。这标识了加密密钥，使用的算法以及算法所需的参数。这样，我们可以优雅地更改键或算法，并在一段时间内进行迁移。