Jauhkan kunci trading dan secret aplikasi dari disk server

Cara kunci trading sampai ke aplikasi

• Tempat kunci disimpan: erpc worker key new membuat kunci di 1Password jika erpc login menyimpan sesi di sana, jika tidak di rantai kunci, dan jika tidak juga, di keystore. erpc.toml mencatat referensi kunci dan kunci publiknya.
• Di server: agen erpc worker menyimpan kunci hanya di memori. Agen ini membuat dirinya tidak dapat di-dump dan mengunci memorinya, lalu menyerahkan kunci ke aplikasi melalui file descriptor; aplikasi menghapus bersih kunci tersebut setelah membacanya.
• Setelah reboot, worker kembali dalam keadaan terkunci: aplikasi tidak berjalan sampai erpc worker start mengirim kunci lagi. Agen yang gagal atau dimatikan dijalankan kembali oleh systemd dan kembali terkunci dengan cara yang sama.
• Update package tidak me-restart worker. deploy memberi tahu needrestart agar tidak menyentuh unit worker: dalam mode otomatisnya, alat ini menunda unit tersebut, dan jika ditanya di terminal, jawaban default-nya untuk unit tersebut adalah tidak, sehingga update keamanan tanpa pengawasan tidak me-restart aplikasi. Jika aturan tersebut tidak dapat ditulis, deploy menyebutkannya dan tetap berlanjut, dan worker kemudian berjalan tanpa perlindungan ini.

Pilih tempat nilai disimpan

1. 1Password, jika erpc login menyimpan sesi di sana atau --vault diberikan.
2. Rantai kunci sistem operasi, di sistem yang rantai kuncinya menyimpan nilai melewati reboot: macOS, Windows, dan Linux dengan keyring desktop dalam sesi yang sudah login.
3. Keystore milik erpc, di mesin Linux tanpa keyring seperti itu: server headless, WSL, login SSH. --store keychain di mesin seperti itu ditolak.

Simpan secret

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

• --generate membuat nilainya: 32 byte acak, dalam bentuk 64 karakter heksadesimal.
• --from-account menyimpan RPC key pertama dari akun Anda yang diterima oleh shared RPC. Kunci dicoba secara berurutan, dimulai dari kunci utama, dengan satu getHealth untuk masing-masing, yang diberi waktu 8 detik untuk menjawab. Kunci yang mendapat jawaban 401 atau 403 ditolak dan kunci berikutnya dicoba, dan hanya kunci yang diterima RPC yang disimpan. Perintah ini menyebutkan apakah kunci tersebut adalah kunci utama akun atau kunci lain (account_key dengan --json).
• Kedua nilai tersebut tidak dicetak, bahkan dengan --json. Penggunaan pertama keystore, atau keystore yang terkunci, memerlukan orang di terminal.
• Kunci dicoba dari mesin ini, sehingga kunci yang dibatasi ke alamat server ditolak di sini meskipun berfungsi di sana. Jika semua kunci ditolak, --from-account tidak menyimpan apa pun, dan Anda menyimpan kunci yang Anda maksud secara manual, diketik tanpa ditampilkan atau dikirim melalui pipe. Jika RPC tidak dapat dihubungi, perintah ini tidak menyimpan apa pun dan erpc.toml tetap seperti semula; jalankan perintah yang sama sekali lagi.

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

• --replace menyimpan nilai baru untuk nama yang sudah diatur. erpc worker secret list menampilkan pengaturan secret berdasarkan nama dan tempat masing-masing disimpan.
• Pengaturan yang disediakan oleh line data (GRPC_ENDPOINT, SHREDS_ENDPOINT, SOLANA_SEND_RPC_ENDPOINT) tidak pernah menjadi secret: --grpc, --shreds, dan --unlimited yang menetapkannya.

Keystore

• master.json berisi kunci master acak 32 byte, yang disegel dengan kunci yang dibuat oleh PBKDF2-HMAC-SHA256 (600.000 iterasi) dari frasa sandi Anda. Setiap entri berisi satu nilai, yang disegel dengan ChaCha20-Poly1305 menggunakan kuncinya sendiri.
• Frasa sandi: key new atau secret put pertama yang memakai keystore meminta Anda memilihnya, diketik dua kali di terminal, minimal 12 karakter. erpc mengambilnya hanya dari prompt tersembunyi tersebut, tidak pernah dari argumen, variabel lingkungan, atau pipe.
• Membuka kunci di Linux: setelah frasa sandi membuka keystore, hasil buka kunci tersebut disimpan di keyring persisten milik kernel, di memori, sampai mesin di-restart, keyring tidak dipakai selama masa kedaluwarsa idle-nya (tiga hari, kecuali sistem menentukan lain), atau erpc worker secret lock dijalankan. erpc worker secret unlock meminta frasa sandi lebih awal dan menyebutkan sampai kapan hasil buka kunci tersebut berlaku. Di shell yang dijalankan tanpa login sendiri (su tanpa -, sudo -E), hasil buka kunci tidak disimpan dan setiap perintah akan meminta frasa sandi.
• Tanpa orang di terminal, perintah yang memerlukan keystore memakai hasil buka kunci jika ada, dan jika tidak ada, perintah gagal sambil menyebutkan erpc worker secret unlock. Keystore yang sudah dibuka kuncinya menyerahkan secret, bukan kunci trading.
• Di macOS dan Windows (--store keystore), hasil buka kunci tidak disimpan: setiap perintah yang memerlukan keystore meminta frasa sandi satu kali, sehingga memerlukan terminal.

Yang dilindungi keystore, dan yang tidak

• Backup direktori keystore dan ingat frasa sandinya. erpc tidak dapat memulihkan satu pun dari keduanya, dan jika salah satunya tidak ada, isi keystore hilang.
• Siapa pun yang memiliki file keystore dan frasa sandinya memiliki kuncinya. PBKDF2 membuat setiap tebakan menjadi lambat, tetapi tidak membuat frasa sandi yang mudah ditebak menjadi aman.
• Selama keystore sudah dibuka kuncinya, program apa pun yang berjalan sebagai Anda dapat membaca kunci master dari keyring kernel (program yang sesinya tidak memegang keyring Anda dapat menautkannya ke sesinya) dan membuka setiap entri, termasuk entri sebuah kunci. Aturan erpc sendiri (kunci yang disebut oleh [wallet] hanya dibaca untuk orang yang berada di terminal, tidak pernah untuk tool AI; kunci yang disimpan di keystore tidak pernah dibuka sebagai secret) adalah apa yang dilakukan erpc; aturan itu tidak mengikat program lain yang berjalan sebagai Anda. Jalankan erpc worker secret lock setelah Anda selesai.
• Nama entri tidak disembunyikan, dan ukuran entri menunjukkan panjang nilainya.
• File yang diubah tidak dapat dibuka; salinan lama dari entri yang sama yang dikembalikan ke tempatnya tetap dapat dibuka.
• erpc worker secret rm menghapus entri keystore milik secret beserta barisnya di erpc.toml (kecuali pengaturan lain di aplikasi menyebut entri yang sama), dan membiarkan nilai di 1Password atau rantai kunci tetap di tempatnya. Perintah ini tidak membersihkan disk, dan salinan di backup Anda tetap ada.
• erpc tidak pernah menghapus atau menimpa entri kunci trading. Untuk mengganti kunci, pindahkan dananya, lalu hapus sendiri file dan [wallet] milik kunci tersebut.
• Pengaturan tidak dapat diberi nama WALLET, dengan kombinasi huruf besar dan kecil apa pun, di keystore atau rantai kunci; --store 1password menerima nama tersebut.

Bekerja dengan kunci trading