格物致知
·
Jenkins 的 Credentials 并不安全
💡
原文中文，约2600字，阅读约需7分钟。
📝
内容提要
Jenkins凭据不安全，因为它们以明文形式存储在本地并传输，可以采取额外措施进行保护。
🎯
关键要点
- Jenkins凭据用于存储保密信息，但存在安全隐患。
- 凭据以加密形式存储，但仍然保存在本地，可能被访问。
- 凭据可以被复制，如果文件被泄露，整个Jenkins实例可能被攻击。
- 凭据在使用时以明文形式传递，可能被恶意脚本打印出来。
- 真正安全的做法是通过额外的方式确保传输安全和应用身份识别。
- 作者提出的安全做法尚未实践，欢迎交流不同意见。
❓
延伸问答
Jenkins凭据存储的安全隐患是什么？
Jenkins凭据以明文形式存储在本地，可能被访问和复制，导致整个Jenkins实例面临攻击风险。
如何确保Jenkins凭据的安全传输？
可以通过额外的方式确保传输安全，例如避免明文传递和应用身份识别。
Jenkins凭据在使用时是如何传递的？
Jenkins凭据在使用时以明文形式通过环境变量传递给应用。
如果Jenkins凭据文件被泄露，会发生什么？
如果凭据文件被泄露，攻击者可以完全访问整个Jenkins实例及其所有内容。
Jenkins凭据的存储位置在哪里？
Jenkins凭据存储在目录 $JENKINS_HOME/secrets/ 中。
作者对Jenkins凭据安全性的看法是什么？
作者认为Jenkins凭据并不安全，并提出了一些个人的安全做法，但未进行实践。
➡️
