Saya berasumsi Anda menggunakan Apache.
Masukkan data rahasia ke dalam variabel lingkungan di /etc/apache2/envvars , atur pemilik ke root dan izin ke 400.
Penyerang harus berkompromi dengan server untuk mendapatkan kunci Anda.
Anda juga dapat membuat skrip yang menanyakan rahasia saat Apache dimulai (mengganggu, tetapi bahkan lebih aman).
Perhatikan bahwa orang dengan akses root akan selalu bisa mendapatkan kunci Anda dan mencoba menyembunyikannya dari mereka hanyalah plasebo.
Solusi plasebo:
- Jadikan aplikasi Anda menganggur secara default sampai Anda POST kunci Anda ke halaman HTTPS dalam aplikasi yang sama, simpan kunci Anda dalam variabel global dan lanjutkan dengan bisnis Anda. Anda harus mempertimbangkan siklus hidup proses PHP (saat proses berakhir, Anda harus mengirim ulang kunci Anda).
