Portál AbcLinuxu, 3. června 2024 20:08
REMOTE_PASS="mypass"
Nevypadá profesionálně, i když je to skript spouštěný automaticky ... Na starším systému jsem tento problém řešil nejprve sourcováním ( myslím, že se tomu tak říká ), ale po nějaké době jsem se rozhodl hesla ukrýt zašifrováním ...
Použil jsem jednorázově nějaký mdcrypt nebo co (google napověděl) a po dlouhé době, když nastal čas přesunout se na nový systém, jsem si pak nemohl vzpomenout, jak jsem to prováděl :).
Jak se dekóduje, to ve skriptu je, ale jak se kódovalo ? ... historie bashe moc nepomohla, nicméně najít mdcrypt pro Leap 15 se mi stejně nepovedlo, tak jsem se rozhodl na novém serveru jít na to od podlahy.
Trochu jsem pohledal na netu ( opravdu nejsem na úrovni, kdy sypu parametry na příkazovou řádku k čemukoliv z paměti ), co se dá v dnešní době použít, a nakonec jsem se rozhodl pro openssl.
Protože předchozí řešení bylo ad hoc, rozhodl jsem se nyní, že z toho udělám trochu použitelnější kód, abych po roce - dvou viděl, jak jsem postupoval, a mohl tohle znovu použít bez hodin googlení ...
V ~/bin jsem vytvořil složku "hesla". do složky jsem umístil skript, který heslo zašifruje. Protože jsem plánoval uložit takto více hesel, rozhodl jsem se heslům přidělit "realm" nebo jak to nazvat.
Každý realm by měl 2 soubory : náhodné heslo k zašifrování a samotné zašifrované heslo. Šel jsem na to takto :
#! /bin/bash
read -p "Realm : " realm
echo
heslo1="."
heslo2=","
while ! [ "$heslo" = "$heslo2" ]; do
echo
read -s -p "Heslo : " heslo
echo
read -s -p 'Heslo znovu : ' heslo2
if ! [ "$heslo" = "$heslo2" ]; then
echo " hesla nejsou stejná !! "
fi
echo
done
echo "Vytvářím šifrovací heslo : "
spice=`openssl rand 500 | tr -cd "[:print:]" | head -c 16`
echo -n $spice > "$realm"_spice.pass
echo "Šifruju heslo"
encoded=`echo -n $heslo | openssl enc -aes-256-cbc -a -salt -pass pass:"$spice"`
echo -n "$encoded" > "$realm"_enc.pass
echo "Hotovo!"
Tento kód tedy vytvoří šifrovací heslo, zašifrované moje heslo a obě uloží do souborů s předponou názvu realmu. Jiný soubor zase poskytuje funkci, která vrátí heslo dešifrované :
function get_pw(){
if [ -n "$1" ]; then
realm="$1"
else
echo "bad realm"
exit 1
fi
mypass=`cat $HOME/bin/hesla/"$realm"_spice.pass`
eheslo=`cat $HOME/bin/hesla/"$realm"_enc.pass`
echo $eheslo | openssl enc -aes-256-cbc -a -d -salt -pass pass:"$mypass"
echo $heslo
}
Ve skriptu tedy sourcuji soubor s funkci, a pak získám heslo třeba k databází ( předtím vytvořený realm "database" ): DB_PASS=get_pw "database"
Ve skriptech moc neřeším kontroly, ostatně, jsou určeny pro omezené použítí, a pouze pro mně. Pokud si (náhodou) budete tuhle nadstavbu přizpůsobovat pro své účely ... je to na vás. Je možné, někdo z vás používá elegantnější metodu, já jsem lepší nevykoumal.
Toto řešení není obranou proti hackerům od Putina, jen elegantně ukryje heslo ve skriptu, aby nebilo do očí.
Dík za přečtení, snad toto řešení někomu ulehčí život..
Tak teď trhejte !
Tiskni
Sdílej:
OpenSSL mi hlásí varování:
$ echo ahoj | openssl enc -aes-256-cbc -a -salt -pass pass:heslo *** WARNING : deprecated key derivation used. Using -iter or -pbkdf2 would be better. U2FsdGVkX1/MmdqIhLBWQQxQ1RM1OguQlsQVjCxe5OU=
Lepší by tedy bylo použít:
$ echo ahoj | openssl enc -aes-256-cbc -a -pbkdf2 -pass pass:heslo U2FsdGVkX1/MXOXIoTimxz/EwJpqshL6s/iGbm7aDWI=
Nicméně celé šifrování je tu trochu nadbytečné, když jsou zašifrovaná data i heslo v souborech hned vedle sebe. Když už, tak se dělá aspoň to, že zašifrovaná data jsou v souborech a heslo v databázi – nebo naopak – takže kdyby někdo ukradl zálohu jen souborů nebo jen databáze, k datům se nedostane, takže to trochu nějaký smysl má (byť je to pořád v podstatě security through obscurity).
Pokud by šlo jen o to „aby nebilo do očí, když skript prohlížíte / upravujete, a někdo, koho nemůžete odehnat, vám stojí za zády“ – tak na to stačí i kódování Base 64, není potřeba šifrovat.
Důležité je, aby byla hesla/klíče oddělená od programu/skriptu a nemohla se ani náhodou dostat do historie verzovacího systému.
11.7.2019 10:14
12.7.2019 15:14
11.7.2019 20:27
~/.netrc. Nebo kamkoliv jinam. Tím také vyřešíš to, že to heslo necommitneš spolu se scriptem (pokud bys ho někam commitoval).
Navrhoval bych znepřístupnit ten soubor všem kromě root uživatele daného serveru.
12.7.2019 11:35
xsubway | skóre: 13
| blog: litera_scripta_manet
Ty se totiž řeší jinak. Ale samozřejmě je vhodné oddělit kód a hesla.
Jasně ... takto není vidět heslo, ani když zkontroluji ( otevřu a mrknu se ) na obsah souborů s hesly a s čumilem za zády ...Proc by ses do toho souboru dival kdyz tam to heslo neuvidis ani ty?
ISSN 1214-1267, (c) 1999-2007 Stickfish s.r.o.
17.7.2019 16:55