Předpokládám, že používáte Apache.
Vložte tajná data do proměnné prostředí v /etc/apache2/envvars , nastavte vlastníka na root a oprávnění na 400.
Útočník bude muset ohrozit server, aby mohl vložit ruce na váš klíč.
Můžete také připravit skript, který se zeptá na tajemství při spuštění Apache (otravné, ale ještě bezpečnější).
Pamatujte, že lidé s přístupem root budou vždy být schopen získat svůj klíč a snažit se ho před nimi skrýt je jen placebo.
Placebo roztok:
- Nastavte svou aplikaci ve výchozím nastavení na nečinnost, dokud nezveřejníte klíč na stránku HTTPS v rámci stejné aplikace, uložte klíč do globální proměnné a pokračujte ve svém podnikání. Musíte vzít v úvahu životní cyklus procesu PHP (když proces skončí, musíte znovu odeslat klíč).