Как обеспечить безопасность секретного ключа в Java-приложении, если он хранится в профиле и Git-репозитории

Как обеспечить безопасность секретного ключа в Java-приложении

Хранение секретных ключей - критическая задача безопасности. Вот проверенные подходы.

1. НИКОГДА не коммитьте секреты в Git

Добавьте в .gitignore:

# .gitignore
.env
.env.local
.env*.local
application-prod.properties
application-prod.yml
src/main/resources/secrets/
*.key
*.pem

2. Environment Variables (рекомендуется)

Убедитесь, что ключи передаются через переменные окружения:

@Configuration
public class SecurityConfig {
    @Value("${API_SECRET_KEY}")
    private String secretKey;
    
    @Bean
    public EncryptionService encryptionService() {
        return new EncryptionService(secretKey);
    }
}

Запуск приложения:

API_SECRET_KEY=my-super-secret-key java -jar app.jar

3. Профильные конфигурации (без секретов!)

application.properties для локальной разработки:

api.key=${API_SECRET_KEY}
api.secret=${API_SECRET}

В production используются только env переменные:

export API_SECRET_KEY="production-secret-key"
export API_SECRET="production-secret-value"

4. Использование .env файла локально (НЕ в Git)

Локальный .env файл для разработки:

# .env (в .gitignore)
API_SECRET_KEY=local-development-key
DB_PASSWORD=local-db-password
JWT_SECRET=local-jwt-secret

Загрузка через spring-dotenv:

<dependency>
    <groupId>io.github.cdimascio</groupId>
    <artifactId>dotenv-java</artifactId>
    <version>3.0.0</version>
</dependency>

@Configuration
public class EnvConfig {
    static {
        Dotenv dotenv = Dotenv.load();
        System.setProperty("API_SECRET_KEY", dotenv.get("API_SECRET_KEY", ""));
    }
}

5. HashiCorp Vault для production

В production используйте специализированный сервис для управления секретами:

<dependency>
    <groupId>org.springframework.cloud</groupId>
    <artifactId>spring-cloud-vault-config</artifactId>
    <version>4.0.0</version>
</dependency>

Конфигурация:

spring:
  cloud:
    vault:
      host: vault.example.com
      port: 8200
      scheme: https
      token: ${VAULT_TOKEN}
      kv:
        enabled: true
        backend: secret
        profile-separator: /

@Configuration
public class VaultSecurityConfig {
    @Value("${secret/api-key}")
    private String apiKey;
    
    @Bean
    public ApiClient apiClient() {
        return new ApiClient(apiKey);
    }
}

6. AWS Secrets Manager

Для приложений на AWS:

<dependency>
    <groupId>software.amazon.awssdk</groupId>
    <artifactId>secretsmanager</artifactId>
    <version>2.20.0</version>
</dependency>

@Configuration
public class AwsSecretsConfig {
    @Bean
    public String secretKey() {
        SecretsManagerClient client = SecretsManagerClient.builder().build();
        
        GetSecretValueRequest request = GetSecretValueRequest.builder()
            .secretId("api/secret-key")
            .build();
        
        GetSecretValueResponse response = client.getSecretValue(request);
        String secret = response.secretString();
        
        client.close();
        return secret;
    }
}

7. Kubernetes Secrets

Для контейнеризованных приложений:

apiVersion: v1
kind: Secret
metadata:
  name: api-secrets
type: Opaque
stringData:
  api-secret-key: your-secret-value
  db-password: your-db-password

Использование в Pod:

env:
- name: API_SECRET_KEY
  valueFrom:
    secretKeyRef:
      name: api-secrets
      key: api-secret-key

8. Spring Cloud Config с шифрованием

spring:
  cloud:
    config:
      server:
        encrypt:
          enabled: true
          key: my-encryption-key

@Configuration
@EnableConfigServer
public class ConfigServerConfig {
}

Шифрование значений:

curl localhost:8888/encrypt -d "my-secret-password"

9. Профиль Spring для production

application-prod.properties (только в protected среде):

spring.profiles.active=prod
logging.level.root=INFO

Запуск:

java -jar app.jar --spring.profiles.active=prod

10. Строгий контроль доступа к ключам

Классы для работы с секретами:

public class SecretKeyManager {
    private final String secretKey;
    
    @Autowired
    public SecretKeyManager(@Value("${api.secret-key}") String secretKey) {
        this.secretKey = secretKey;
    }
    
    // Метод НЕ должен возвращать ключ напрямую
    public void useSecretKey(String data) {
        // Используем ключ внутри
        String encrypted = encrypt(data, this.secretKey);
    }
    
    // НИКОГДА так не делайте:
    // public String getSecretKey() { return secretKey; }
}

11. Ревью кода и логирование

@Aspect
@Component
public class SecretAudit {
    private static final Logger logger = LoggerFactory.getLogger(SecretAudit.class);
    
    @Before("execution(* *.*(..)) && @annotation(SecureOperation)")
    public void auditSecretAccess(JoinPoint joinPoint) {
        logger.info("Secret operation: {} by principal {}", 
            joinPoint.getSignature(), 
            SecurityContextHolder.getContext().getAuthentication().getName());
    }
}

@Target(ElementType.METHOD)
@Retention(RetentionPolicy.RUNTIME)
public @interface SecureOperation {
}

12. Никогда не логируйте секреты

// ПЛОХО
logger.info("API Key: " + apiKey);

// ХОРОШО
logger.info("Using API authentication");

// ХОРОШО - маскируем при необходимости
private String maskSecret(String secret) {
    if (secret == null || secret.length() < 4) return "****";
    return secret.substring(0, 2) + "****" + secret.substring(secret.length() - 2);
}

Лучшие практики

1. Используйте env переменные для локальной разработки
2. В production используйте Vault, AWS Secrets Manager или Kubernetes Secrets
3. Добавьте .env и файлы с секретами в .gitignore
4. Никогда не коммитьте профили с реальными секретами
5. Ограничьте доступ к ключам на уровне кода
6. Не логируйте секреты и конфиденциальные данные
7. Регулярно ротируйте ключи
8. Используйте шифрование для транспортировки ключей
9. Проводите audit логирование для критичных операций
10. Сканируйте код на утечки секретов с помощью инструментов типа git-secrets, truffleHog