问Python:保护脚本中敏感的变量内容

EN

使用我上面的LDAP连接的简短示例，您可以做哪些具体的更改来更好地保护密码变量？

没有。你要么：

• 需要将纯文本发送到LDAP API，。
  • 在这种情况下，您需要获得纯文本，攻击者可以获取该纯文本。
  • 或者您需要解密的加密文本，攻击者可以在您解密之后获得这些文本。

​

• 需要密码散列才能发送到LDAP API 。
  • 然后攻击者就可以得到哈希并使用它。这实际上是一个简单的密码。

​

现有的解决方案是设计一个根本不需要提示用户输入密码的设计，并且不需要向其他服务发送纯文本密码。

例如，您有一个运行正常的Kerberos环境，具有同步时间，用户在第一次登录时就获得Kerberos票证，并且这些票证被用于使用没有密码提示的服务进行身份验证。票证的生命周期有限，并且内置了Kerberos重播检测，因此如果从内存中取出它们，它们比密码的用处要小得多。

因此，用户在整个环境中只点击一次密码提示，而不是他们运行或访问的每个脚本一次，该密码由一个集中的、经过良好审查的低级别OS进程处理。