Så förhindrar du att Plex-hemligheter läcker in i Compose-filer eller säkerhetskopior

Eva Wong

IceWhale author

Eva Wong är Teknisk skribent och den boende fixaren på ZimaSpace. En livslång nörd med en passion för hemma-labb och öppen källkod, hon specialiserar sig på att översätta komplexa tekniska koncept till tillgängliga, praktiska guider. Eva tror att självhosting ska vara roligt, inte skrämmande. Genom sina handledningar ger hon gemenskapen verktyg att avmystifiera hårdvaruinstallationer, från att bygga sin första NAS till att bemästra Docker-containrar.

How to Prevent Plex Secrets From Leaking Into Compose Files or Backups - Zima Store Online

Håll Plex-token, API-nycklar, lösenord och certifikat utanför versionshanterade Compose-filer och uteslut hemligt material från vanliga konfigurationssäkerhetskopior.

Risken är inte begränsad till offentliga repositorier. Miljöfiler, felsökningsloggar, kopierade Compose-paket och säkerhetskopieringsarkiv kan alla öka åtkomsten till autentiseringsuppgifter. Inventera vilka värden som faktiskt är hemliga, injicera dem vid körning och gör det möjligt att rotera dem utan att bygga om hela stacken.

Klassificera hemligheter innan du ändrar lagringen

Alla miljövariabler är inte känsliga, men token, lösenord, privata nycklar och API-autentiseringsuppgifter bör hanteras på ett annat sätt än vanliga inställningar.

OWASP rekommenderar injektering av containerhemligheter i stället för att bygga in hemligheter i avbildningar eller exponera dem genom allmän konfiguration.

Lista alla autentiseringsuppgifter som används av Plex, proxyservrar, verktyg för innehållsbegäran och automatisering. Markera var varje värde lagras, vem som kan läsa det och hur det roteras.

Hårdkoda inte autentiseringsuppgifter i Compose

En Compose-fil kopieras, versionshanteras, skickas via e-post eller inkluderas ofta i säkerhetskopieringspaket. Hårdkodade hemligheter följer med filen och kan finnas kvar långt efter att den ursprungliga servern har ersatts.

Ett säkrare Docker-mönster använder separat hemlighetshantering, så att känsliga värden tilldelas tjänsten utan att bli vanlig konfigurationstext.

Ersätt hårdkodade värden med en hemlighet eller en skyddad källa vid körning. Kontrollera att den renderade Compose-utdata och repositoriets historik inte fortfarande innehåller den gamla autentiseringsuppgiften.

Håll miljöfiler utanför breda säkerhetskopior

En `.env`-fil kan vara praktisk men innehåller ändå klartext om inte ett annat lager skyddar den. Om den säkerhetskopieras tillsammans med allmän konfiguration kan det omärkligt utöka vilka som får autentiseringsuppgifterna.

Compose omfattningsregler för miljövariabler påverkar hur `.env`, `env_file` och tjänstevariabler löses upp, så ta reda på vilken fil som faktiskt innehåller den aktiva hemligheten.

Separera säkerhetskopior av hemligheter från rutinmässig appkonfiguration och begränsa åtkomsten till dem. Om du inte behöver återställa ett värde eftersom det kan utfärdas på nytt, föredra dokumenterad rotation framför obegränsad lagring. Förvara autentiseringsuppgifter utanför den beständiga layouten för appdata så att vanliga säkerhetskopior av appdata inte automatiskt blir arkiv med hemligheter.

-15% OFF

ZimaBoard 2 - Minihemmserver för din stora idé

Single board computer zimaboard2

Rotera efter exponering eller ändringar i arbetsflödet

Att ta bort en läckt token från en fil ogiltigförklarar inte kopior som redan har skapats. Hantera misstänkt exponering som en händelse som kräver rotation av autentiseringsuppgifter, inte som en uppgift för filstädning.

Normal kapacitet och omsättning i säkerhetskopior kan skapa många historiska kopior, vilket är anledningen till att rotation av hemligheter är viktig när ett arkiv redan kan innehålla det gamla värdet.

Rotera den berörda token, uppdatera källan vid körning och kontrollera att det gamla värdet inte längre autentiserar. Lägg till ett steg för genomsökning efter hemligheter före framtida Compose- eller säkerhetskopieringsexporter.