Jaki jest najbezpieczniejszy i najprostszy sposób, aby hasło wpisane przez użytkownika w bash stało się częścią standardowego programu?

Szukam (1) najbezpieczniejszego i (2) najprostszego sposobu, aby użytkownik wpisał hasło w wierszu polecenia powłoki bash i aby hasło to stało się częścią standardowego programu.

Tak powinno wyglądać standardowe wejście:, {"username":"myname","password":"<my-password>"}gdzie <my-password>wpisane jest polecenie powłoki. Gdybym miał kontrolę nad programem stdin, mógłbym go zmodyfikować, aby bezpiecznie monitować o hasło i umieścić je na swoim miejscu, ale dalszy ciąg jest standardowym poleceniem ogólnego przeznaczenia.

Rozważyłem i odrzuciłem podejścia wykorzystujące:

• użytkownik wpisujący hasło w wierszu polecenia: hasło zostanie wyświetlone na ekranie, a także widoczne dla wszystkich użytkowników za pośrednictwem „ps”
• interpolacja zmiennej powłoki na argument do programu zewnętrznego (np. ...$PASSWORD...): hasło byłoby nadal widoczne dla wszystkich użytkowników za pośrednictwem „ps”
• zmienne środowiskowe (jeśli pozostaną w środowisku): hasło będzie widoczne dla wszystkich procesów potomnych; nawet wiarygodne procesy mogą ujawnić hasło, jeśli zrzucą podstawowe lub środowiskowe zmienne w ramach diagnostyki
• hasło przechowywane w pliku przez dłuższy czas, nawet plik z wąskimi uprawnieniami: użytkownik może przypadkowo ujawnić hasło, a użytkownik root może przypadkowo zobaczyć hasło

Podam moje obecne rozwiązanie jako odpowiedź poniżej, ale chętnie wybiorę lepszą odpowiedź, jeśli ktoś ją wymyśli. Myślę, że powinno być coś prostszego, a może ktoś zauważy obawy dotyczące bezpieczeństwa, za którymi tęskniłem.

Z bashlub zsh:

unset -v password # make sure it's not exported
set +o allexport  # make sure variables are not automatically exported
IFS= read -rs password < /dev/tty &&
  printf '{"username":"myname","password":"%s"}\n' "$password" | cmd

Bez IFS=, readby rozebrać początkowe i końcowe spacje z hasłem podczas pisania.

Bez -rtego przetwarzałby ukośniki odwrotne jako znak cytowania.

Chcesz mieć pewność, że będziesz czytać tylko z terminala.

echonie można używać niezawodnie. W basha zsh, printfjest wbudowane tak, że wiersz polecenia nie pokaże na wyjściu ps.

W bashmusisz zacytować, $passwordponieważ w przeciwnym razie zostanie zastosowany operator split + glob .

To wciąż źle, ponieważ trzeba zakodować ten ciąg jako JSON. Na przykład problem polegałby na podwójnym cytowaniu i ukośniku odwrotnym. Prawdopodobnie musisz się martwić o kodowanie tych znaków. Czy twój program oczekuje ciągów UTF-8? Co wysyła twój terminal?

Aby dodać ciąg zachęty zsh:

IFS= read -rs 'password?Please enter a password: '

Z bash:

IFS= read -rsp 'Please enter a password: ' password

Oto rozwiązanie, które mam (zostało przetestowane):

$ read -s PASSWORD
<user types password>
$ echo -n $PASSWORD | perl -e '$_=<>; print "{\"username\":\"myname\",\"password\":\"$_\"}"'

Wyjaśnienie:

1. read -sczyta linię standardowego (hasła) bez echa linii na ekranie. Przechowuje w zmiennej powłoki PASSWORD.
2. echo -n $PASSWORDumieszcza hasło na stdout bez nowej linii. (echo to wbudowane polecenie powłoki, więc nie jest tworzony nowy proces, więc (AFAIK) hasło jako argument do echa nie będzie pokazywane na ps.)
3. Perl jest wywoływany i odczytuje hasło ze standardowego na $_
4. perl wstawia hasło $_do pełnego tekstu i wypisuje je na standardowe wyjście

Jeśli chodzi o test POST HTTPS, druga linia będzie wyglądać tak:

echo -n $PASSWORD | perl -e '$_=<>; print "{\"username\":\"myname\",\"password\":\"$_\"}"' | curl -H "Content-Type: application/json" -d@- -X POST <url-to-post-to>

Jeśli twoja wersja readnie obsługuje -s, wypróbuj sposób zgodny z POSIX opisany w tej odpowiedzi .

echo -n "USERNAME: "; read uname
echo -n "PASSWORD: "; set +a; stty -echo; read passwd; command <<<"$passwd"; set -a; stty echo; echo
passwd= # get rid of passwd possibly only necessary if running outside of a script

Ma set +azapobiegać automatycznemu „eksportowaniu” zmiennej do środowiska. Powinieneś sprawdzić strony podręcznika stty, ponieważ dostępnych jest wiele opcji. <<<"$passwd"Jest cytowany z powodu dobrych hasła mogą mieć miejsca. Ostatnie echopo włączeniu stty echoma rozpocząć następną komendę / wyjście w nowym wierszu.