git - git history 是否会破坏使用 OpenSSL 加密的文件？

Question

我使用 OpenSSL 加密包含敏感数据的文件:

openssl enc -aes-128-cbc -a -d -salt -pass pass:<my_custom_password> -in <file_path> -out "<out_file_path>" -md md5

当然，密码不会存储在 repo 中。
有时我需要解密这个文件，对其进行更改，将其加密并推送到存储库。
如果我使用超过 40 个字符的密码，有没有办法破解我的安全？

Answer 1

如果可以避免，最好将敏感数据保存在存储库之外(例如，在 CI 系统的 secret 存储中)。那是因为通常它被复制的较少，因此泄漏的可能性较小。
如果您选择强密码和强算法，它将在很长一段时间内保持安全。但是如果你犯了一个错误，并且不小心选择了一个弱算法，比如 RC4，或者你做出了其他一些错误的决定，那么在不重写整个历史的情况下很难撤消。如果您确实选择了一个较弱的选择，并且攻击者控制了您的存储库(有时确实会发生这种情况)，他们可能会攻击您数据的最弱版本。
至于您选择的算法和工具，没有理由出于任何原因使用 MD5，无论它在这种特殊情况下是否弱。现代版本的 OpenSSL 中的默认值是 SHA-256，您应该明确指定它。 AES-128 很好，但因为 openssl enc不支持任何消息完整性，攻击者可以篡改数据。这可能不是问题，因为 Git 将数据存储在类似于 Merkle 树的结构中，只要您能够验证您的历史记录是否完​​整，您就能够检测到它。
因此，虽然您所做的没有问题，并且通常用于大型 secret ，但如果可能，最好将其存储在存储库之外的专用 secret 存储中。