我有一个 Linux 网络服务，需要读取秘密来解密一些数据。该应用程序还允许用户在运行时更改加密密码。该应用程序将在单独的用户帐户下运行，并且秘密当前位于该用户拥有的文件中。我正在尝试想办法改善这种情况，因为密码在文件中是明文形式。
该应用程序可以以 root 身份启动，然后将权限授予应用程序用户。这样，秘密文件就可以由 root 拥有，但密码更改场景会中断，除非我以 root 身份运行另一个守护程序。
我基本上希望防止秘密以明文形式存在于磁盘上，并且如果没有人在循环中引导加密过程，可以做的最好的事情就是让秘密变得更难，即使有人获得了代码执行。
谁能分享关于如何改善当前状况的任何建议？ keyctl 是否适用于此，或者通常仅用于存储内核机密？
任何建议将不胜感激！
这个问题对于这个网站来说被认为是广泛的。为了缩小范围，内核密钥环（使用 keyctl）是否适合存放应用程序机密？