pasar la contraseña segura a través de la entrada estándar openssl

Question

Sabemos que podemos cifrar un archivo con OpenSSL utilizando este comando:

openssl aes-256-cbc -a -salt -in twitterpost.txt -out foo.enc -pass stdin 

La contraseña se leerá de la entrada estándar. Como tal, para proporcionar la contraseña de antemano, todo lo que necesitamos hacer es anteponer

al comando anterior. Mi pregunta es: ¿cómo puedo hacer esto de forma más segura? El método anterior no parece lo suficientemente seguro.

Agradecería algunos comentarios sobre esto para poder entender mejor este problema.

Answer 1

prácticamente cualquier mecanismo que utilice será snoopable por root, así que tenga esto en cuenta.

La opción echo, se mostrará en la lista 'ps', lo que la hace vulnerable a los usuarios habituales que buscan y encuentran la contraseña.

Puede utilizar -pass file:filename utilizar un archivo, por lo que puede utilizar:

sumask=$(umask) 
umask 077 
rm -f passfile 
cat >passfile <<EOM 
someGoodPassword 
EOM 
umask $sumask 

esto crea el archivo, ilegible para otras cuentas (pero aún legibles por root). Uno asume que el script se usa una sola vez para crear el archivo de paso, como si repitiera el proceso, tiende a estar en un archivo y, por lo tanto, necesita chmod go-rwx el archivo para que otros usuarios no lo puedan leer.

continuación, utiliza:

openssl aes-256-cbc -a -salt -in twitterpost.txt -out foo.enc -pass file:passfile 

para realizar el cifrado, utilizando el archivo de contraseñas previamente creada.

Otros mecanismos son -pass env:ENVVAR para el uso de una variable de entorno (de nuevo conseguir que en allí sin revelar es el truco)

Answer 2

Ponga la contraseña en bash u otro archivo de script, y cree 600 permisos para ello. Eso permitirá que solo usted vea el archivo, y la contraseña no se revelará en ninguna parte.

Answer 3

Versión corta

Utilice una tubería con nombre.

openssl aes-256-cbc -a -salt -in twitterpost.txt -out foo.enc -pass file:<(echo -n "someGoodPassword") 

Versión larga

Utilice una tubería con nombre. Puede crearlo en bash con

<(*output*) 

p.

<(echo -n "content") # without -n echo will add a newline 

se abrirá una tubería con nombre, por lo general una cola FIFO, y verá en la lista de procesos algo así como

/dev/fd/63 

Será que sólo esté accesible por el usuario actual y será cerrado automáticamente después de haber sido leída, para que no tenga que preocuparse por los permisos y limpiar el disco (el conducto se cerraría si el programa falla, mientras que un archivo creado por usted, como se sugiere en otra respuesta, permanecería en el disco).

De esta manera se cerrará de la manera más rápida posible, justo después de que el comando lo lea y sin esperar a que termine su tarea (Acabo de hacer una prueba: cifrar algunos gigabytes e intentar leer el conducto con nombre (es visible en la lista de procesos): la tubería nombrada se cierra instantáneamente incluso si openssl tarda años en encriptarse).

Sobre sus comentarios

Si el ordenador ha sido comprometido por una segunda aplicación para obtener esta contraseña , entonces el usuario tiene algunos problemas de seguridad graves que preocuparse acerca . En realidad, podría haber algún software diseñado específicamente para ataque de mi propio software

Si su ordenador ha sido hackeado y el atacante tiene sus mismos derechos de usuario, que está hecho para. Por ejemplo, el atacante puede modificar fácilmente su .bashrc a alias openssl para que inicie un "evil-openssl" hipotético que copie su contraseña y datos antes de manipular todo en el openssl real, dejándolo con su falsa sensación de seguridad.

Dicho esto, no soy un experto en seguridad, así que si alguien quiere desvirtuarme en el olvido (y dime por qué), de nada.

Answer 4

Si entiendo bien, su concierto sobre

$ echo "someGoodPassword" | openssl (...) -pass stdin 

es que la contraseña será visible en la lista de procesos a todos los usuarios durante algún periodo corto de tiempo. Que puede ser fácilmente trabajado en torno a <<< redirección de bash (no va a funcionar en la llanura shell POSIX de edad, sin embargo):

$ openssl (...) -pass stdin <<<"someGoodPassword" 

Esta construcción es compatible con la interpolación de variables (<<<"$password") y la salida del comando se puede canalizar más o redirigido a presentar como siempre.