Храните торговый ключ и секреты приложения вне диска сервера

Как торговый ключ попадает в приложение

• Где он хранится: erpc worker key new создаёт ключ в 1Password, если erpc login хранит сессию там, иначе — в связке ключей, иначе — в keystore. erpc.toml записывает ссылку на ключ и его открытый ключ.
• На сервере: агент erpc worker держит ключ только в памяти. Он запрещает снимать с себя дамп, блокирует свою память и передаёт ключ приложению через файловый дескриптор; приложение стирает ключ после чтения.
• После перезагрузки воркер возвращается заблокированным: приложение не работает, пока erpc worker start снова не отправит ключ. Агента, который упал или был убит, systemd запускает снова, и он так же возвращается заблокированным.
• Обновление пакетов не перезапускает воркер. deploy указывает needrestart не трогать юниты воркера: в автоматическом режиме он откладывает их перезапуск, а при вопросе в терминале его ответ по умолчанию для них — «нет», поэтому обновление безопасности без участия человека не перезапускает приложение. Если это правило не удалось записать, развёртывание сообщает об этом и продолжается, и тогда воркер работает без этой защиты.

Выбор места хранения значений

1. 1Password, если erpc login хранит сессию там или указан --vault.
2. Связка ключей ОС, где значение сохраняется и после перезагрузки: macOS, Windows и Linux с keyring рабочего стола в сессии с выполненным входом.
3. Keystore erpc — на машине Linux без такого keyring: сервер без графического интерфейса, WSL, вход по SSH. --store keychain на такой машине отклоняется.

Сохранение секрета

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

erpc worker secret put API_TOKEN --generate          # the bot's own API token, made for you and shown to nobody
erpc worker secret put ERPC_API_KEY --from-account   # the account's RPC key, read from your account (or SOLANA_RPC_ENDPOINT in [vars])

• --generate создаёт значение: 32 случайных байта в виде 64 шестнадцатеричных символов.
• --from-account сохраняет первый из RPC-ключей вашего аккаунта, который принимает общий RPC. Ключи перебираются по порядку, начиная с основного, — по одному getHealth на каждый, с 8 секундами на ответ. Ключ, на который пришёл ответ 401 или 403, отклоняется, и пробуется следующий; сохраняется только ключ, который RPC принял. Команда сообщает, основной ли это ключ аккаунта или другой (account_key с --json).
• Ни одно из значений не выводится, в том числе с --json. Первое использование keystore или заблокированный keystore требуют человека за терминалом.
• Ключи проверяются с этой машины, поэтому ключ, ограниченный адресом сервера, здесь отклоняется, хотя там он работает. Если отклонены все ключи, --from-account ничего не сохраняет, и вы сохраняете нужный ключ вручную — вводя его без отображения на экране или передавая через конвейер. Если к RPC не удалось обратиться, команда ничего не сохраняет и erpc.toml остаётся прежним; выполните ту же команду ещё раз.

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

erpc worker secret put ERPC_API_KEY        # asks for the value, unseen

• --replace сохраняет новое значение для имени, которое уже задано. erpc worker secret list показывает секретные настройки по имени и место хранения каждой.
• Настройка, которую предоставляет линия данных (GRPC_ENDPOINT, SHREDS_ENDPOINT, SOLANA_SEND_RPC_ENDPOINT), никогда не бывает секретом: её задают --grpc, --shreds и --unlimited.

Keystore

• master.json хранит случайный 32-байтовый мастер-ключ, запечатанный ключом, который PBKDF2-HMAC-SHA256 (600 000 итераций) выводит из вашей парольной фразы. Каждая запись хранит одно значение, запечатанное ChaCha20-Poly1305 под собственным ключом.
• Парольная фраза: первая команда key new или secret put, которая использует keystore, просит вас её выбрать — ввести дважды в терминале, не короче 12 символов. erpc принимает её только из этого скрытого запроса, никогда — из аргумента, переменной окружения или канала.
• Разблокировка в Linux: после того как парольная фраза открыла keystore, разблокировка хранится в постоянном keyring ядра, в памяти, пока машина не перезапустится, пока keyring не простоит без использования весь свой срок бездействия (три дня, если система не задаёт иное) или пока не будет выполнен erpc worker secret lock. erpc worker secret unlock заранее запрашивает парольную фразу и сообщает, до какого времени действует разблокировка. В оболочке, запущенной без собственного входа (su без -, sudo -E), разблокировка не сохраняется, и каждая команда спрашивает парольную фразу.
• Когда за терминалом никого нет, команда, которой нужен keystore, использует разблокировку, если она есть, а иначе завершается с ошибкой, называя erpc worker secret unlock. Разблокированный keystore выдаёт секреты, но не торговый ключ.
• В macOS и Windows (--store keystore) разблокировка не сохраняется: каждая команда, которой нужен keystore, один раз запрашивает парольную фразу, и поэтому ей нужен терминал.

Что keystore защищает, а что нет

• Сделайте резервную копию каталога keystore и запомните парольную фразу. erpc не может восстановить ни то, ни другое, и если нет хотя бы одного из них, содержимое keystore утрачено.
• Тот, у кого есть файлы keystore и парольная фраза, имеет и ключ. PBKDF2 делает каждую попытку подбора медленной, но не делает безопасной парольную фразу, которую можно угадать.
• Пока keystore разблокирован, любая программа, запущенная от вашего имени, может прочитать мастер-ключ из keyring ядра (программа, сессия которой не содержит ваш keyring, может подключить его к себе) и открыть любую запись, в том числе запись ключа. Собственные правила erpc (ключ, указанный в [wallet], читается только для человека за терминалом и никогда — для ИИ-инструмента; ключ, сохранённый в keystore, никогда не открывается как секрет) — это то, что делает erpc; на другие программы, запущенные от вашего имени, они не распространяются. Когда закончите, выполните erpc worker secret lock.
• Имена записей не скрыты, а размер записи показывает длину значения.
• Изменённый файл не открывается, а более старая копия той же записи, возвращённая на её место, открывается.
• erpc worker secret rm удаляет запись секрета в keystore вместе с его строкой в erpc.toml (если ту же запись не указывает другая настройка приложения) и оставляет значение в 1Password или в связке ключей там, где оно есть. Команда не затирает диск, и копии в ваших резервных копиях остаются.
• erpc никогда не удаляет и не перезаписывает запись торгового ключа. Чтобы заменить ключ, переведите средства, затем сами удалите его файл и [wallet].
• Настройку нельзя назвать WALLET ни в каком регистре — ни в keystore, ни в связке ключей; --store 1password принимает это имя.

Работа с торговым ключом