C'è un modo per passare dati sensibili in bash usando un prompt, per qualsiasi comando?

Supponiamo che stavo usando sha1passper generare un hash di una password sensibile sulla riga di comando. Posso usare sha1pass mysecretper generare un hash di mysecretma questo ha lo svantaggio che mysecretè ora nella storia di Bash. C'è un modo per raggiungere l'obiettivo finale di questo comando evitando di rivelare mysecretin testo semplice, magari usando un passwdprompt in stile?

Sono anche interessato in un modo generalizzato a fare questo per passare dati sensibili a qualsiasi comando. Il metodo cambierebbe quando i dati sensibili vengono passati come argomento (come in sha1pass) o su STDIN a un comando.

C'è un modo per raggiungere questo obiettivo?

Modifica : questa domanda ha attirato molta attenzione e ci sono state diverse buone risposte offerte di seguito. Un riassunto è:

• Secondo la risposta di @ Kusalananda , idealmente non si dovrebbe mai dare una password o un segreto come argomento della riga di comando a un'utilità. Questo è vulnerabile in diversi modi come descritto da lui, e si dovrebbe usare un'utilità meglio progettata in grado di prendere l'input segreto su STDIN
• La risposta di @ vfbsilva descrive come impedire che le cose vengano archiviate nella storia di bash
• @La risposta di Jonathan descrive un metodo perfettamente valido per raggiungere questo obiettivo, purché il programma possa prendere i suoi dati segreti su STDIN. Come tale, ho deciso di accettare questa risposta. sha1passnel mio PO era solo un esempio, ma la discussione ha stabilito che esistono strumenti migliori che raccolgono dati su STDIN.
• come osserva @R .. nella sua risposta , l'uso dell'espansione del comando su una variabile non è sicuro.

Quindi, in sintesi, ho accettato la risposta di @ Jonathan poiché è la soluzione migliore dato che hai un programma ben progettato e ben educato con cui lavorare. Sebbene passare una password o un segreto come argomento della riga di comando sia fondamentalmente non sicuro, le altre risposte forniscono modi per mitigare i semplici problemi di sicurezza.

Se si utilizza la shell zsho bash, utilizzare l'opzione -s per readincorporare la shell per leggere una riga dal dispositivo terminale senza farne eco.

IFS= read -rs VARIABLE < /dev/tty

Quindi puoi usare un reindirizzamento di fantasia per usare la variabile come stdin.

sha1pass <<<"$VARIABLE"

Se qualcuno corre ps, vedranno solo "sha1pass".

Ciò presuppone che sha1passlegge la password da stdin (su una riga, ignorando il delimitatore di riga) quando non viene fornito alcun argomento.

Idealmente, non digitare mai una password in chiaro nella riga di comando come argomento di un comando. In questo modo la password diventa un argomento per il comando e gli argomenti della riga di comando possono essere visualizzati nella tabella dei processi utilizzando strumenti semplici come pso registrati in alcuni registri di controllo.

Detto questo, ci sono certamente modi per nascondere la password effettiva dalla cronologia dei comandi della shell.

sha1pass "$( head -n 1 )"

Quindi digitare la password e premere Enter. Il headcomando utilizzato qui accetta esattamente una riga di input e l'ultima riga digitata non farà parte dei dati a cui viene passato sha1pass.

Per impedire l'eco dei personaggi:

sha1pass "$( stty -echo; head -n 1; stty echo )"

Il stty -echocomando disattiva l'eco dei caratteri digitati sul terminale. L'eco viene quindi ripristinato con stty echo.

Per trasmettere l'input standard, quell'ultimo comando potrebbe essere modificato (avresti fatto questo se i sha1passdati accettati sull'input standard fossero stati accettati, ma sembra che questa particolare utility ignori il suo input standard):

{ stty -echo; head -n 1; stty echo; } | somecommand

Se è necessario un input su più righe (quanto sopra presuppone che debba essere passata una riga singola, senza caratteri di nuova riga alla fine), quindi sostituire l'intero headcomando con cate terminare l'input (assumendo che somecommandsi legga fino alla fine del file) con Ctrl+D( di seguito Returnse si desidera includere un carattere di nuova riga nell'input o due volte in caso contrario).

Funzionerebbe a prescindere dalla shell che stavi usando (purché fosse una shell tipo Bourne o rc).

Alcune shell possono essere create per non salvare i comandi digitati nei loro file di cronologia se il comando è preceduto da uno spazio. Questo di solito comporta la necessità di impostare HISTCONTROLil valore ignorespace. Questo è supportato da almeno bashe kshsu OpenBSD, ma non da eg ksh93o dash. zshgli utenti possono utilizzare l' histignorespaceopzione o la loro HISTORY_IGNOREvariabile per definire un modello da ignorare.

Nelle shell che supportano la lettura readsenza l'eco dei caratteri sul terminale, è anche possibile utilizzare

IFS= read -rs password     # -s turns off echoing in bash or zsh
                           # -r for reading backslashes as-is,
                           # IFS= to preserve leading and trailing blanks
sha1pass "$password"

ma questo ovviamente ha ancora lo stesso problema nel rivelare potenzialmente la password nella tabella dei processi.

Se l'utilità legge dallo standard input e se la shell supporta "here-string", è possibile modificare quanto sopra

IFS= read -rs password
somecommand <<<"$password"

Riepilogo dei commenti di seguito:

• L'esecuzione di un comando con una password fornita nella riga di comando, eseguita da tutti i comandi precedenti, ad eccezione di quello che invia i dati al comando, renderà potenzialmente la password visibile a chiunque sia in esecuzione pscontemporaneamente. Nessuno dei comandi precedenti salverà comunque la password digitata nel file di cronologia della shell se eseguita da una shell interattiva.

• I programmi ben educati che leggono le password in chiaro lo fanno leggendo dal loro input standard, da un file o direttamente dal terminale.

• sha1pass richiede la password sulla riga di comando, digitata direttamente o usando una qualche forma di sostituzione dei comandi.

• Se possibile, utilizzare un altro strumento.

Se si imposta in questo HISTCONTROLmodo:

HISTCONTROL=ignorespace

e avvia il comando con uno spazio:

~$  mycommand

non verrà archiviato nella cronologia.

Passa i dati sensibili tramite una pipe o here-doc:

command_with_secret_output | command_with_secret_input

o:

command_with_secret_input <<EOF
$secret
EOF

Va bene che i segreti siano nelle variabili della shell (non esportate), ma non si possono mai usare quelle variabili nelle righe di comando, solo nei documenti qui e negli interni della shell.

Come notato da Kusalananda in un commento, se si immettono comandi in una shell interattiva, le righe immesse per un documento qui verranno archiviate nella cronologia della shell, quindi non è sicuro digitare una password lì, ma dovrebbe comunque essere variabili di shell sicure da usare contenenti segreti; la storia conterrà il testo $secretpiuttosto che qualunque cosa $secretestesa.

L'uso delle espansioni di comandi non è sicuro :

command_with_secret_input "$(command_with_secret_output)"

perché l'output verrà incluso nella riga di comando e visibile psnell'output (o leggendo manualmente da / proc) tranne nei sistemi con hardened / proc.

Anche l'assegnazione a una variabile va bene:

secret=$(command_with_secret_output)

Basta scrivere il valore in un file e passare il file:

$ cat > mysecret
Big seecreeeet!
$ cat mysecret | sha1pass 

Non sono sicuro di come sha1passfunzioni, se può prendere un file come input, puoi usarlo sha1pass < mysecret. In caso contrario, l'utilizzo catpotrebbe essere un problema poiché include la nuova riga finale. In tal caso, utilizzare (se il proprio headsupporto -c):

head -c-1 mysecret | sha1pass 

Se ciò che Terdon ha fatto è possibile, questa è la soluzione migliore, passando attraverso input standard. L'unico problema rimasto è che ha scritto la password sul disco. Possiamo farlo invece:

stty -echo
echo -n "password: "
head -1 | sha1pass
stty echo

Come ha detto Kusalananda, stty -echoassicura che ciò che scrivi non venga visto fino a quando non lo fai di stty echonuovo. head -1otterrà una riga dall'input standard e la passerà a sha1pass.

io userei

sha1pass "$(cat)"

catleggerebbe da stdin fino a EOF, che può essere causato premendo Ctrl + D. Quindi, il risultato verrebbe passato come argomento asha1pass