Czy „curl -u nazwa użytkownika: hasło http://example.com” jest bezpieczne?

30

Jest curl -u username:password http://example.combezpieczny?

Jeśli nie, czy możesz krótko wyjaśnić, w jaki sposób ktoś może uzyskać twoje hasło?

security curl

— JDiMatteo
źródło

6

jeśli używasz tego w terminalu, czy masz na myśli, że oba poświadczenia są przechowywane w historii bash?

— Francisco Tapia

15

Takie polecenie nie jest bezpieczne, ponieważ inny użytkownik może ps -efsprawdzić, które procesy są uruchomione. Gdy curl -u username:password http://example.compojawi się na liście, miejsce docelowe, nazwa użytkownika i hasło są zagrożone.

— Lambert

Chociaż pytanie jest tutaj na temat, możesz być także zainteresowany Bezpieczeństwo informacji StackExchange

— IQAndreas

54

Jest to niebezpieczne, ponieważ domyślnym cURL jest podstawowe uwierzytelnianie, w którym protokół HTTP wysyła hasło w postaci zwykłego tekstu. Po określeniu username:passwordciągu zostanie on przekonwertowany na ciąg BASE64 w nagłówku HTTP:

GET / HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Accept: text/html
Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

Każdy, kto jest w stanie przechwycić ruch HTTP (twój dostawca, każdy, kto ma dostęp do tego samego bezprzewodowego punktu dostępowego co ty itp.), Będzie mógł odzyskać hasło za pomocą konwertera BASE64 online .

Protokół HTTPS poprawi sytuację, ustanawiając szyfrowane połączenie przed wysłaniem tego nagłówka, zapobiegając ujawnieniu hasła. Ma to jednak zastosowanie tylko wtedy, gdy użytkownik zwraca uwagę na prośbę o potwierdzenie nieznanych certyfikatów, autoryzację wyjątków bezpieczeństwa i tak dalej.

Zauważ, że argumenty poleceń mogą być dostępne dla innych użytkowników na tym samym komputerze, aby zobaczyć np. ps -efSystem plików / proc, twoją historię bashu i twój dziennik terminali (dziękuję za uwagę komentarza @ Lambert). cURL na niektórych platformach próbuje ukryć hasło, więc na przykład ps -efmożesz zobaczyć puste miejsce zamiast hasła. Jednak zamiast przekazywać hasło jako argument wiersza poleceń, lepiej jest poprosić cURL o podanie hasła, jak omówiono w FAQ cURL .

— Dmitrij Grigoriew
źródło

4

Nawet jeśli jesteś na platformie, na której curl z powodzeniem zastępuje własny argument argv, aby ukryć dane ps, jest pewien okres, w którym zaczyna się, zanim zostanie zastąpione, gdy ta zawartość jest podatna na ataki.

— Charles Duffy

Co z uwierzytelnianiem streszczenia? Czy curl domyślnie tego nie używa?

— rr

2

@rr Uwierzytelnianie szyfrowane jest tylko nieznacznie lepsze, ponieważ nie zapobiega atakom typu man-in-the-middle, więc nadal lepiej jest używać HTTPS.

— Dmitrij Grigoriew

1

@rr Jak twierdzisz, że StartSSL nie jest zaufany przez większość przeglądarek ? Czy spodziewasz się wielu użytkowników Windows 95 lub Firefox 1.5?

— Hagen von Eitzen

1

@rr IMHO dostajesz niezaufane tylko wtedy, gdy występuje problem z brakującymi (lub błędnymi) certyfikatami pośrednimi na serwerze

— Hagen von Eitzen

24

To nie jest bezpieczne. Parametry wiersza poleceń są widoczne dla wszystkich użytkowników.

— Tronic
źródło

4

Połączenie z odpowiedzią @Dmitry Grigoryev może być najdokładniejsze.

— Francisco Tapia

1

Tak, całkowicie przeoczyłem dużą część problemu, który muszę przyznać.

— Dmitrij Grigoriew

polecenie może być częścią skryptu, który może odczytać tylko użytkownik ...

— Pete

2

@Pete Wiersze poleceń programów wykonawczych (uruchamiane ze skryptu lub z terminala) są zwykle widoczne dla wszystkich użytkowników za pośrednictwem pspolecenia i /procsystemu plików. Jeśli polecenie zakończy się szybko, ryzyko jest zmniejszone, ale nadal istnieje.

— RBerteig

2

@Pete Odpowiedzi nie powinny być wyłączne, wzajemnie się uzupełniają. Tak więc w drugiej odpowiedzi można pominąć zagrożenie wyjaśnione w pierwszej, raczej byłoby niepotrzebne powtórzyć ją. I nie nazwałbym tego stwierdzenia fałszywym, ponieważ nie jest to prawda w każdym możliwym przypadku.

— Dmitrij Grigoriew

1

Można to zrobić w bezpieczniejszy sposób, używając parametru --netrc-file.

Utwórz plik z uprawnieniem 600

Na przykład: vi / root / my-file

machine example.com

Login nazwa użytkownika

hasło HASŁO

Zapisz i zamknij plik

Użyj poniższego, aby uzyskać dostęp do adresu URL za pomocą nazwy użytkownika i hasła.

curl --netrc-file / root / my-file http://example.com

Gotowy

— Wstydnik
źródło

0

Nie jest bezpieczne podczas korzystania ze schematu HTTP. Aby zabezpieczyć go, powinieneś użyć HTTPS.

Aby ukryć hasło przed pojawieniem się w historii poleceń, podaj tylko nazwę użytkownika. Curl poprosi o podanie hasła, jeśli nie zostanie podane w poleceniu.

— Mohnish
źródło

Nie jest to przydatna odpowiedź, jeśli HTTPS nie jest dostępny. cURL jest „klientem”.

— mckenzm

0

Krótka odpowiedź to nie ... ale ...

Jeśli nie ma opcji po stronie serwera, możesz wzmocnić bezpieczeństwo.

Jeśli jest to lokalny intranet, odizoluj domenę rozgłoszeniową i nie używaj Wi-Fi ani żadnego radia.
Jak mówi Shameer, użyj pliku .netrc, trzymaj wartości poza kodem.
Jeśli ufasz, że pamięć jest bezpieczna, użyj zmiennych środowiskowych. $ PSWD.
Jeśli jest to automatyzacja, uruchom z crontab roota.
... w pojemniku.
... z maszyny wirtualnej z zaszyfrowanym dyskiem.

Żadne z nich nie jest mniej bezpieczne niż przeglądarka wykorzystująca HTTP.

— mckenzm
źródło