コマンドのプロンプトを使用してbashから機密データを渡す方法はありますか？

Question

理想的には、コマンドラインのコマンドの引数としてプレーンテキストパスワードを入力しないでください。これにより、パスワードはコマンドの引数になり、コマンドライン引数はいくつかの監査ログに書き込むか、簡単なツールを使用してpsプロセステーブルに表示できます。

しかし、シェルのコマンド履歴から実際のパスワードを隠す方法は確かにあります。

sha1pass "$( head -n 1 )"

次にパスワードを入力してを押しますEnter。ここで使用されるコマンドはhead1行の入力のみを受け入れ、最後に入力した改行文字は渡されたデータの一部になりませんsha1pass。

文字が反響しないようにするには:

sha1pass "$( stty -echo; head -n 1; stty echo )"

このstty -echoコマンドは、端末に入力された文字のエコーをオフにします。その後、復元エコーを使用してくださいstty echo。

標準入力を渡すには、最後のコマンドを変更することができます（sha1pass標準入力のデータが許可されている場合はこれを行う必要がありますが、この特定のユーティリティは標準入力を無視するようです）。

{ stty -echo; head -n 1; stty echo; } | somecommand

複数行の入力が必要な場合（上記では末尾に改行文字なしで単一行を渡す必要があると仮定します）、次のようにhead使用します（入力に改行したい場合は次のことを行い、それ以外の場合は2回実行します）。catsomecommandCtrl+DReturn

これは、どのシェルを使用するかに関係なく機能します（Bourneやrcなどのシェルの場合）。

一部コマンドの前にスペースがある場合、シェルは入力したコマンドを履歴ファイルに保存できない可能性があります。通常はHISTCONTROLvalueに設定する必要がありますignorespace。少なくともOpenBSDはbashこれをサポートしていkshますが、そうではksh93ないかもしれませんdash。zshユーザーは、histignorespaceオプションやその変数の使用をHISTORY_IGNORE無視するようにパターンを定義できます。

read文字を端末にエコーせずに読み取りをサポートするシェルでは、次のものも使用できます。

IFS= read -rs password     # -s turns off echoing in bash or zsh
                           # -r for reading backslashes as-is,
                           # IFS= to preserve leading and trailing blanks
sha1pass "$password"

ただし、これはまだプロセステーブルからパスワードが漏洩する可能性がある同じ問題を抱えているようです。

ユーティリティが標準入力から読み込み、シェルが「here-strings」をサポートしている場合は、上記の内容を次のように変更できます。

IFS= read -rs password
somecommand <<<"$password"

コメントをまとめると、次のようになります。

psコマンドラインで指定されたパスワードを使用してコマンドを実行すると（データをコマンドにパイプするコマンドを除く）、上記のすべてのコマンドがこれを実行するため、同時に実行するすべての人にパスワードが表示されます。ただし、対話型シェルで実行されている場合、上記のコマンドのいずれも入力したパスワードをシェルの履歴ファイルに保存しません。
プレーンテキストパスワードを読み取る正常に動作するプログラムは、標準入力、ファイル、または端末から直接読み取って読み込みます。
sha1pass直接またはコマンド置換形式を使用して、コマンドラインにパスワードを入力する必要があります。
可能であれば、他のツールを使用してください。

Answer 1