密钥管理

AWS Secrets Manager是亚马逊的原生密钥管理服务，用于安全存储、检索、轮换和审计数据库凭证、API密钥等敏感信息。

文章对比了 GitHub Actions 与 CircleCI 的密钥管理机制：CircleCI 以 job 级隔离和 contexts 为核心，强调运行时即时注入与简单透明，但在多项目、多环境下容易出现上下文漂移、变量冲突和手工轮换难题；GitHub Actions 则以组织、仓库、环境三级作用域实现更严格的边界与确定性，适合大型团队治理，但也带来 100 个组织密钥限制、队列时读入导致的轮换延迟，以及 fork 场景下的访问限制。

文章深入探讨了加密货币钱包安全性的复杂性，指出“非托管钱包”并非绝对安全，而是受密钥生成、存储和使用等多个环节影响。它详细分析了各环节的风险，并提出了多种安全最佳实践和未来改进方向，旨在提升Web3用户资产的安全性。

本文深入探讨了跨链桥的安全问题，分析了导致多起重大桥被黑事件的关键因素，并提供了一个全面的安全检查清单，涵盖架构、消息传递、资产转移、预言机、经济安全、紧急机制和链特定考虑等方面，旨在帮助开发者和审计人员构建更安全的跨链桥。

文章系统介绍了如何用 Infisical 统一管理 Azure DevOps 中分散的密钥，指出原生变量组、YAML 与 Key Vault 在大规模场景下存在轮换困难、权限粗粒度、跨项目不可见和多云适配差等问题。

文章指出区块链安全威胁已从智能合约漏洞转向链下运营基础设施，强调需要转变观念，重视对周边运营环境的保护。它提出了一种区块链运营安全评估方法，详细介绍了其评估范围、流程和所遵循的行业标准，旨在帮助组织全面提升安全性，以应对不断变化的攻击向量。

本文是秘管理的指南，涵盖秘密的定义、生命周期（生成、存储、分发、访问控制、轮换、撤销、销毁）、静态与动态秘密的比较、最佳实践（如不硬编码、集中存储、最小权限、自动轮换、审计等），以及DevOps/CI/CD（Kubernetes、Terraform、GitOps）、云秘密管理（AWS、GCP、Azure）和工具选择（HashiCorp Vault、Doppler、Infisical等）的详细讨论。文章强调动态秘密和短凭据对减少泄露风险的重要性，并提供了选择秘密管理工具的关键考量。

本文作者 Jameson Lopp 阐述了备份助记词的重要性，并分析了选择备份方案时面临的挑战。文章详细讨论了常见的错误备份方法，并推荐了多重签名和Shamir备份等高级方案，强调测试备份和地理位置分散的重要性，以及备份钱包属性（如脚本类型、派生路径等）的必要性。最后作者强调，助记词保存方式因人而异，不应盲目听从指令式指南，而应根据自身情况做出选择。

本文档描述了一个用于密钥库的最小化rollup方案（MKSR），旨在解决智能合约钱包(SCW)在多链同步的问题。该方案通过创建一个基于zk-SNARK证明的rollup，将SCW配置（例如签名者和阈值）存储在链上的Merkle树中，并允许用户通过提交SNARK证明来更新其SCW签名者，从而实现跨链钱包的同步和管理。该方案还讨论了合约设计、电路设计、经济模型以及未来的改进方向。

本文介绍了如何将 Infisical 作为 OpenTofu 的外部密钥管理方案，解决 OpenTofu 原生不支持 secrets management 的问题。

文章围绕多云架构的价值展开，指出单云依赖会放大供应商锁定、服务下线、价格变化和区域故障带来的风险；多云虽带来管理、权限、监控和数据传输等复杂度，但通过统一抽象层可以把复杂度转化为可控成本。作者重点强调基础设施即代码、Kubernetes、统一可观测性和统一密钥管理是多云落地的核心，其中 Secrets 管理被视为跨云协同的关键控制面。文章还给出渐进式迁移路径：先从灾备、新业务和非关键系统开始，再逐步扩展到关键业务，以此获得韧性、议价能力、合规能力和技术灵活性。

这篇文章系统对比了 2026 年可替代 HashiCorp Vault 的开源或托管方案，重点评估了 Infisical、Mozilla SOPS、CyberArk Conjur、AWS Secrets Manager 以及自建方案在部署成本、开发体验、权限控制、动态密钥、审计、证书管理和云兼容性上的差异。

本文系统讲解了 Pulumi 中密钥的流转与安全边界：从 Provider 认证、基础设施配置到 state 文件中的加密数据，分析了 Pulumi 内置 secrets 机制、ESC 环境与 KMS/Vault 等后端的能力与局限。

文章深入解析了 OWASP 密钥管理备忘录，探讨了在现代基础设施中管理 API 密钥、证书和凭据的挑战。作者指出，密钥管理的痛点在于分散化和生命周期管理的缺失，而非单一工具的选择。文章详细分析了中心化标准、细粒度访问控制、动态密钥自动轮换、CI/CD 流水线安全以及 Kubernetes 默认密钥机制的局限性。最后提供了一份涵盖从加密到事件响应的完整评估清单，强调了自动化和平台化在应对多云环境和缩短证书寿命趋势中的核心作用。

本文深入探讨了Passkey背后的密码学原理，包括WebAuthn规范如何增强安全性以抵抗网络钓鱼，以及Authenticator的类型。同时讨论了Passkey的威胁模型、局限性，以及用于密钥生成和证书存储的扩展功能。最后，文章为用户和开发者提供了采用Passkey的建议，并展望了其在现代身份验证系统中的未来。