Existe-t-il un moyen de transmettre des données sensibles dans bash en utilisant une invite, pour n’importe quelle commande?

Supposons que j'utilisais sha1passpour générer un hachage d'un mot de passe sensible sur la ligne de commande. Je peux utiliser sha1pass mysecretpour générer un hachage de mysecretmais cela a l'inconvénient qui mysecretest maintenant dans l'histoire bash. Existe-t-il un moyen d’atteindre l’objectif final de cette commande tout en évitant de révéler mysecretle texte brut, peut-être en utilisant une passwdinvite -style?

Je suis également intéressé par un moyen généralisé de faire cela pour transmettre des données sensibles à n'importe quelle commande. La méthode changerait lorsque les données sensibles seraient transmises sous forme d'argument (comme dans sha1pass) ou sur STDIN à une commande.

Y a-t-il un moyen d'accomplir cela?

Edit : Cette question a attiré beaucoup d'attention et plusieurs bonnes réponses ont été proposées ci-dessous. Un résumé est:

• Selon la réponse de @ Kusalananda , idéalement, il ne serait jamais nécessaire de donner un mot de passe ou un secret en tant qu'argument de ligne de commande à un utilitaire. Ceci est vulnérable de plusieurs manières, comme décrit par lui, et on devrait utiliser un utilitaire mieux conçu capable de prendre l'entrée secrète sur STDIN.
• La réponse de @ vfbsilva explique comment éviter que des éléments ne soient stockés dans l'historique bash
• La réponse de @ Jonathan décrit une méthode parfaitement efficace pour accomplir cela tant que le programme peut prendre ses données secrètes sur STDIN. En tant que tel, j'ai décidé d'accepter cette réponse. sha1passdans mon OP était juste un exemple, mais la discussion a établi qu'il existe de meilleurs outils qui prennent des données sur STDIN.
• comme le note @R .. dans sa réponse , l'utilisation de l'extension de commande sur une variable n'est pas sans danger.

En résumé, j’ai accepté la réponse de @ Jonathan car c’est la meilleure solution étant donné que vous disposez d’un programme bien conçu et bien conçu. Bien que le fait de passer un mot de passe ou un secret en tant qu'argument de ligne de commande soit fondamentalement dangereux, les autres réponses permettent d'atténuer les simples problèmes de sécurité.

Si vous utilisez le shell zshou bash, utilisez l'option -s du readshell intégré pour lire une ligne à partir du terminal sans l'écho.

IFS= read -rs VARIABLE < /dev/tty

Vous pouvez ensuite utiliser une redirection sophistiquée pour utiliser la variable en tant que stdin.

sha1pass <<<"$VARIABLE"

Si quelqu'un court ps, tout ce qu'il verra, c'est "sha1pass".

Cela suppose que sha1passle mot de passe de stdin (sur une ligne, en ignorant le séparateur de ligne) soit lu sans aucun argument.

Idéalement, vous ne devez jamais taper un mot de passe en texte clair sur la ligne de commande en tant qu'argument d'une commande. Cela fait du mot de passe un argument de la commande et des arguments de ligne de commande peuvent être vus dans la table de processus en utilisant des outils simples tels que psou enregistrés dans certains journaux d'audit.

Cela dit, il existe certainement des moyens de masquer le mot de passe actuel de l'historique des commandes du shell.

sha1pass "$( head -n 1 )"

Tapez ensuite le mot de passe et appuyez sur Enter. La headcommande utilisée ici accepte exactement une ligne d'entrée et la dernière nouvelle ligne que vous tapez ne fera pas partie des données transmises sha1pass.

Pour empêcher les caractères de faire écho:

sha1pass "$( stty -echo; head -n 1; stty echo )"

La stty -echocommande désactive l'écho des caractères saisis sur le terminal. L'écho est alors restauré avec stty echo.

Pour transmettre l’entrée standard, cette dernière commande pourrait être modifiée (vous l’auriez fait si sha1passles données acceptées sur l’entrée standard, mais comme si cet utilitaire ignorait son entrée standard):

{ stty -echo; head -n 1; stty echo; } | somecommand

Si vous avez besoin d’une entrée multiligne (ce qui précède suppose qu’une seule ligne doit être passée, sans caractère de nouvelle ligne à la fin), remplacez la headcommande entière par catet terminez l’entrée (en supposant que ce somecommandsoit lu jusqu’à la fin du fichier) par Ctrl+D( suivant Returnsi vous voulez inclure un caractère de nouvelle ligne dans l'entrée, ou deux fois sinon).

Cela fonctionnerait quel que soit le shell que vous utilisiez (à condition qu'il s'agisse d'un shell de type Bourne ou de type rc).

Certains shells peuvent ne pas enregistrer les commandes saisies dans leurs fichiers d’historique si celle-ci est précédée d’un espace. Cela implique généralement de définir HISTCONTROLla valeur ignorespace. Ceci est soutenu par au moinsbash et kshsur OpenBSD, mais pas par exemple par ksh93ou dash. zshles utilisateurs peuvent utiliser l' histignorespaceoption ou leur HISTORY_IGNOREvariable pour définir un modèle à ignorer.

Dans les shells prenant en charge la lecture readsans écho des caractères sur le terminal, vous pouvez également utiliser

IFS= read -rs password     # -s turns off echoing in bash or zsh
                           # -r for reading backslashes as-is,
                           # IFS= to preserve leading and trailing blanks
sha1pass "$password"

mais cela a évidemment toujours le même problème avec la possibilité de révéler le mot de passe dans la table de processus.

Si l'utilitaire lit à partir de l'entrée standard et si le shell prend en charge les "ici-chaînes", ce qui précède peut être remplacé par

IFS= read -rs password
somecommand <<<"$password"

Résumé des commentaires ci-dessous:

• L'exécution d'une commande avec un mot de passe indiqué sur la ligne de commande, comme toutes les commandes ci-dessus, à l'exception de celle qui dirige les données vers la commande, rendra potentiellement le mot de passe visible pour tous ceux qui s'exécutent psen même temps. Toutefois, aucune des commandes ci-dessus ne sauvegarde le mot de passe saisi dans le fichier d’historique du shell s’il est exécuté à partir d’un shell interactif.

• Les programmes bien conçus qui lisent les mots de passe en texte clair le font en lisant depuis leur entrée standard, depuis un fichier ou directement depuis le terminal.

• sha1pass do requiert le mot de passe sur la ligne de commande, que vous le saisissiez directement ou que vous utilisiez une forme de substitution de commande.

• Si possible, utilisez un autre outil.

Si vous définissez HISTCONTROLcomme ceci:

HISTCONTROL=ignorespace

et lancez la commande avec un espace:

~$  mycommand

il ne sera pas stocké dans l'historique.

Passer des données sensibles via un tube ou here-doc:

command_with_secret_output | command_with_secret_input

ou:

command_with_secret_input <<EOF
$secret
EOF

Il est normal que des secrets se trouvent dans des variables shell (non exportées), mais vous ne pouvez jamais utiliser ces variables sur des lignes de commande, uniquement dans here-documents et les éléments internes du shell.

Comme l'a noté Kusalananda dans un commentaire, si vous entrez des commandes dans un shell interactif, les lignes que vous entrez pour un document here seront stockées dans l'historique du shell. Il est donc dangereux de taper un mot de passe ici utiliser des variables de shell contenant des secrets en toute sécurité; l'histoire contiendra le texte $secretplutôt que ce que$secret développé.

L'utilisation des extensions de commandes n'est pas sûre :

command_with_secret_input "$(command_with_secret_output)"

parce que la sortie sera incluse dans la ligne de commande et visible dans ps sortie (ou lue manuellement à partir de / proc) sauf sur les systèmes dotés de / proc durci.

L'affectation à une variable est également acceptable:

secret=$(command_with_secret_output)

Il suffit d'écrire la valeur dans un fichier et de le transmettre:

$ cat > mysecret
Big seecreeeet!
$ cat mysecret | sha1pass 

Je ne sais pas comment ça sha1passmarche, si vous pouvez utiliser un fichier en entrée, vous pouvez l'utiliser sha1pass < mysecret. Sinon, utiliser catpeut être un problème car il inclut la nouvelle ligne finale. Si c'est le cas, utilisez (si vos headsupports -c):

head -c-1 mysecret | sha1pass 

Si ce que terdon a fait est possible, alors c'est la meilleure solution, en passant par l'entrée standard. Le seul problème est qu'il a écrit le mot de passe sur le disque. Nous pouvons le faire à la place:

stty -echo
echo -n "password: "
head -1 | sha1pass
stty echo

Comme dit Kusalananda, stty -echoveille à ce que ce que vous tapez ne soit pas vu avant de le stty echorefaire. head -1obtiendra une ligne de l’entrée standard et la transmettra à sha1pass.

j'utiliserais

sha1pass "$(cat)"

catlirait de stdin jusqu’à EOF, ce qui peut être provoqué en appuyant sur Ctrl + D. Ensuite, le résultat serait passé comme argument àsha1pass