очередной велосипед, давайте мы придумаем ещё одну соль, назовем её pepper, и будем вводить этот global secret ручками при старте приложения, надеясь что с rce злоумышленнику не придет в голову дампануть память приложения

это когда веберы не осилили в реверс, и уверовали в in-memory-secret-storage

радар в зубы, и полетел pepper пиздой по кочкам

Хм, т.е. снимаем дамп озу и погнали?

всё упирается только в реверс софта и дамп памяти

а если у атакующего есть рут права, что ему мешает руками прочитать базу с диска?

база соленая особым способом, который подразумевается not yet another security through obscurity. В солении хешей фигурирует global secret под именем pepper, который только в памяти, и вбивается при запуске приложения

так, я думаю тут речь все таки про микросервисную модель, когда база далеко (в соседнем контейнере) от приложения

для этого аппсеки придумали vault

тогда чтобы до нее дойти один хер нужно перемолотить приложение любым образом и достать из него конекшн стринг

ну и волт не решение, токен так или иначе в приложении

это типа плюс, я его и сам рекомендую)

но это не панацея)

токен так или иначе в приложении, памяти или где ещё

панацея есть - выносить криптографию на аппаратный ключ с программируемой логикой

и выносить хеширование паролей на этот ключ

думаю это и подразумевалось под HSM

а вот фразы
> RCE на бэкендах, в т.ч. root привилегии
> Нам нужно отозвать права "select" у бэкенд юзера на таблицу

вводят в тупик. похоже да, забыли упомянуть про микросервисную модель

Статья по сути про разграничение уровней доступа приложению, взаимодействующего с базой, средствами базы.

Типичный подход одноуровневый, дать доступ приложению как минимум на селект, в том числе и к хешам. В таком случае sqli становится типичной проблемой, когда хеши текут, и данных из базы достаточно для расхеша. Тут же предлагают урезать права, слою аутентификации не дать доступа к таблице хешей, вынести проверки в хранимки, секрет не хранить на диске, сделать хеши в базе солеными на секрет.

Это дает определенный слой, но разговор то в статье не про RCE и рута. В случае с RCE и рутом улетает память и код приложения, реверсится и воcстанавливается global secret.

Если разговор про архитектурный подход, то это очередной велосипед, не хуже и не лучше, а совсем не " очень легкий, понятный и технически верный путь, как решить поставленную задачу".