Github 또는 그 외의 공개 장소에 프로젝트 관리를 하다보면 DB 패스워드 등 보안에 민감한 정보들이 노출되기 쉽다.

깃헙에 delete password 라는 키워드로 커밋 검색 결과… delete password 커밋해도.. 이전 커밋에는 패스워드가 노출되어있다는 것.. 애초에 올리질 말아야 한다

그 외에 OAuth에 필요한 키, 다른 API 토큰들 이런 정보는 보호해야 한다. 하지만 문제가 되는 부분인 협업을 하면서 민감한 정보들만 보호하면서 공유해야한다는 것이다.

지금까지는 해당 설정파일을 따로 만들고 설정파일만 메신저로 공유하며 Github에는 설정파일을 제외한 정보들만 올리는 방법을 사용했다.

이번 기회에 제대로 된 정석적인 방법을 구글링 했고 몇가지 키워드를 얻을 수 있었다.

Maven의 pom 암호화 기능.

pom.xml에 민감한 정보가 들어가야 할 때, 예를 들면 deploy 타이밍에 서버 계정이 들어가야 하는데 이 부분을 암호화 할 수 있도록 도와준다고 한다. 내가 찾던 properties 암호화는 아니었지만 알아두면 좋을 것 같다.

https://maven.apache.org/guides/mini/guide-encryption.html

Jasypt 라이브러리

Encrption이라는 키워드로 검색했을 때 Jasypt 라는 라이브러리가 자주 등장했다. 자바에서 암호화를 쉽게 할 수 있도록 도와주는 라이브러리였다. 나는 Spring에서 프로젝트가 실행될 때 암호화를 해제하는걸 원했는데 관련 블로그에서는 java 코드 내에서 암호화, 복호화 하는 내용만 다루고 있었다.
Spring Jasypt

역시 Spring에 적용 가능한 Library가 존재했다. 암호화 된 패스워드를 풀기 위한 Key는 각 서버의 환경변수로 보관함으로써 Github에는 암호화 된 프로젝트를 올릴 수 있었다.

Jasypt 그 엄청난 삽질기

Jasypt 는 꽤 오래된 라이브러리였다. 현재 maven repo에 있는 1.9.2.. 2014년 2월 버전. spring 3.1버전 지원한다고 되어있고 그 이후로는 업뎃이 없었다. 이게 발목을 잡을 줄이야..

Jasypt이 properties를 암호화 하고 사용하는 방식

Tomcat에서 Spring 프로젝트가 올라가면서 context 가 생성된다
그 타이밍에 context에 있는 jasypt 객체들이 암호를 풀어준다.
암호를 풀려면 “키” 가 있어야 한다.
근데 결국 “키” 가 프로젝트 내부에 있으면 보안 없는거나 마찬가지 아닌가?
그래서 그 “키”는 프로젝트 내부가 아니라 구동 서버의 환경변수로 존재한다. 고로 안전하다.

Jasypt을 사용해보자

maven dependency 설정

pom.xmp 에 Jasypt-spring 라이브러리를 추가한다.

<dependency>
        <groupId>org.jasypt</groupId>
        <artifactId>jasypt-spring31</artifactId>
        <version>1.9.2</version>
        <scope>compile</scope>
</dependency>

메이븐 레포를 보면 jasypt-spring31, jasypt-spring3 이렇게 두 가지 버전이 있다. jasypt-spring3은 spring 3.0까지 지원하고 그 이후로는 jasypt-spring31이 spring3.1 부터 최신까지 지원한다고 공식 홈페이지에 써있다. Spring 4.3.3 을 쓰는 지금 jasypt-spring31을 사용해서 동작을 확인했다.

spring context 설정

context에 복호화를 위한 객체 3개를 bean으로 만들어준다.

<beans:bean id="encryptorConfig" class="org.jasypt.encryption.pbe.config.EnvironmentPBEConfig">
  <beans:property name="algorithm" value="PBEWithMD5AndDES" />
  <beans:property name="passwordEnvName" value="ASOG_ENCRYPTION_KEY" />
</beans:bean>

<beans:bean id="encryptor" class="org.jasypt.encryption.pbe.StandardPBEStringEncryptor">
  <beans:property name="config" ref="encryptorConfig" />
</beans:bean>

<beans:bean class="org.jasypt.spring31.properties.EncryptablePropertyPlaceholderConfigurer">
  <beans:constructor-arg ref="encryptor" />
  <beans:property name="locations">
    <beans:list>
      <beans:value>classpath:config/jdbc/jdbc.properties</beans:value>
      <beans:value>classpath:config/oauth/OAuthFacebook.properties</beans:value>
      <beans:value>classpath:config/oauth/OAuthPayco.properties</beans:value>
      <beans:value>classpath:config/objectstorage/objectstorage.properties</beans:value>
    </beans:list>
  </beans:property>
</beans:bean>

이렇게 3가지 bean을 만든다. 1개씩 살펴보자.

<beans:bean id="encryptorConfig" class="org.jasypt.encryption.pbe.config.EnvironmentPBEConfig">
  <beans:property name="algorithm" value="PBEWithMD5AndDES" />
  <beans:property name="passwordEnvName" value="ASOG_ENCRYPTION_KEY" />
</beans:bean>

algorithm
암/복호화 알고리즘이다. 암호화 할 때 쓴 알고리즘 이름을 넣어야 한다. 저 필드에 넣을 수 있는 값은 여기에서 볼 수 있다.
passwordEnvName
환경변수로 지정한 키 값이다. 리눅스 기준 echo $ASOG_ENCRYPTION_KEY 했을 때 출력되는 값을 넣어주는 부분이다. “키” 를 프로젝트 내부가 아닌 외부에 저장하는 방식.
당연히 프로젝트 복호화를 위해 서버 bashrc 등 rc 파일에 export ASOG_ENCRYPTION_KEY={진짜 키} 가 되어 있어야 한다. 안그러면 익셉션 발생!

 <beans:bean id="encryptor" class="org.jasypt.encryption.pbe.StandardPBEStringEncryptor">
   <beans:property name="config" ref="encryptorConfig" />
 </beans:bean>

여긴 별 거 없다. StandardPBEStringEncryptor PBEEncryptor를 상속받는 다른 클래스도 사용할 수 있다는 거만 알아두자.

<beans:bean class="org.jasypt.spring31.properties.EncryptablePropertyPlaceholderConfigurer">
  <beans:constructor-arg ref="encryptor" />
  <beans:property name="locations">
    <beans:list>
      <beans:value>classpath:config/jdbc/jdbc.properties</beans:value>
      <beans:value>classpath:config/oauth/OAuthFacebook.properties</beans:value>
      <beans:value>classpath:config/oauth/OAuthPayco.properties</beans:value>
      <beans:value>classpath:config/objectstorage/objectstorage.properties</beans:value>
    </beans:list>
  </beans:property>
</beans:bean>