假设我有一个应该在VPS上运行的应用程序。该应用程序利用configuration文件，其中包含非常重要的私钥，从某种意义上说，没有人应该访问!我知道VPS提供商可以很容易地访问我的文件。那么，我该如何隐藏呢?来自恶意行为的敏感数据，同时仍然可以用于应用程序?
我相信加密将没有帮助，因为解密应该在同一台机器上完成!此外，我知道运行我自己的私人服务器是一个很简单的选择;但是，不幸的是，这不是一个选项。
你解决不了这个问题。无论你能找到什么解决办法，总会有一个有权限的人重复同样的步骤。只有在完全控制服务器(硬件和软件)的情况下才能解决这个问题，否则，这是一场失败的战斗。
一些链接:
- https://cheatsheetseries.owasp.org/cheatsheets/Key_Management_Cheat_Sheet.html
- https://owaspsamm.org/model/implementation/secure-deployment/stream-b/
- https://security.stackexchange.com/questions/223457/how-to-store-api-keys-when-algo-trading
您可以浏览安全SE的一些方向，并提出更有针对性的问题。
使用您自己的服务器，使用专用硬件进行密钥存储，信任您的主机提供商或云，并使用设计良好的安全协议，可以缓解此问题。
但是VPS提供商不知道你的应用程序将如何解密文件中的密钥?也许你的应用程序中嵌入了一个解密密钥，或者是更简单的东西。如果不对你的应用进行反编译，他们就无法了解其中的秘密。当然，如果你的"应用"只是一些脚本，然后他们就可以解决了。
例如，如果文件中的第一个键是customerID，他们不知道所有其他键只是根据您的customerID的散列进行xor -他们甚至不知道您使用的散列算法。
好吧，这可能是过于简单的你使用一个众所周知的散列，但如果只有几个客户端，这是足够的。
显然，他们可能正在监听你的应用程序发送的网络流量，但如果你那么偏执，那应该已经端到端加密了。