步驟 1

npx dotenv-vault push

您執行 npx dotenv-vault push。您的請求開始。

步驟 2

加密連線

您的 .env 檔案會被加密並透過 SSL 安全地傳送到 Dotenv 的記憶體伺服器。

步驟 3

Dotenv 伺服器

此加密的 payload 會被解密並短暫保存在記憶體中，以完成後續步驟。之後，記憶體會被清除。請放心，解密版本永遠不會持久化到 Dotenv 系統中。

步驟 4

解析

您的 .env 檔案會逐行在記憶體中進行解析。

注意：不同語言和框架之間的 dotenv 解析器存在細微差異。到目前為止，Dotenv Vault 處理了 100% 的情況，我們將繼續新增測試案例以涵蓋所有邊緣案例。

步驟 5

密鑰提取

每個鍵/值對（和任何註解）都會在記憶體中被提取出來。

步驟 6

密鑰分割

密鑰會被分割成單獨的鍵和值。這是經過設計的。它們會儲存在不同的資料庫中以提高安全性。這樣一來，如果攻擊者以某種方式獲得了其中一個資料庫的存取權，他們也無法理解數據的意義，因為他們只有一半的拼圖。

步驟 7

AES-GCM 加密

KEY 會被加密。VALUE 會被加密。它們會使用不同的主加密金鑰進行加密。這樣一來，如果攻擊者以某種方式獲得了 VALUE 解密金鑰的存取權，他們也會發現數據無用。他們不會知道密鑰屬於 Twilio 還是 AWS。

加密使用 AES-GCM 演算法。它是

• 經過充分研究的
• NIST 推薦的
• IETF 標準
• 由於專用的指令集而速度快

此外，所有主加密金鑰都會按照未公開的排程進行輪換，進一步提高了安全性。

步驟 8

權杖化

加密的 VALUE 會被傳送到 Dotenv Vault 以進行安全儲存。權杖會作為識別碼返回。權杖會在下一步中使用，以將 KEY 對應到 VALUE，以便日後安全讀取操作。

保險庫中包含多種安全措施。它們包括但不限於：

• 與應用程式資料庫分離的資料儲存
• 無法透過網際網路存取，且所有外部連線都會被阻止
• 需要加密的用戶端，而且這些用戶端必須通過應用程式 - 該應用程式本身具有額外的加密層
• 連線到保險庫有更嚴格的 TLS 要求。不能使用 TLS 1.0 進行連線。
• 儲存在保險庫中的密鑰不僅在資料儲存層級進行加密。它們還會像您在先前的步驟中所看到的那樣在每個資料儲存項目中進行加密。

步驟 9

儲存帶有權杖的金鑰部分

最後，加密的 KEY 和權杖（代表加密的 VALUE）會被放置在信封中，並一起儲存在應用程式資料庫中。