¿Cuál es la mejor manera de almacenar una contraseña svn cifrada en Ubuntu Server?

Hola

Tengo Ubuntu Server ejecutando un servidor de subversión. Estoy ejecutando el cliente en la misma máquina a través de SSH, y me gustaría que el cliente svn recuerde mi contraseña, pero no la almacene como texto sin formato. Mirando aquí veo dos métodos: gnome-keyring y kwallet. Como no estoy usando un administrador de escritorio, soy un poco cauteloso al intentar usar uno de estos. ¿Alguna sugerencia? ¿Estaría bien (o incluso funcionaría) usar una de las dos aplicaciones que mencioné?

TIA

1. Puede ejecutar Gnome-keyring o Kwallet en la máquina remota. Cada uno viene en dos componentes, un demonio y una GUI.

   • Puede ejecutar la aplicación GUI en la máquina remota si ejecuta ssh con reenvío X. El hecho de que sea una máquina "servidor" no significa que no pueda instalar aplicaciones GUI en ella. No importa si está ejecutando el entorno de escritorio correspondiente o no, las aplicaciones no necesitan un entorno de escritorio específico para ejecutarse.

   • Puede controlar Kwallet en la línea de comando qdbus, aunque no es una buena idea en este caso específico porque tendría que escribir su contraseña en texto sin cifrar en una línea de comando, y otros usuarios pueden hacerlo. Ver también esta respuesta SU .

   • Hay un enlace de python para Gnome-keyring y Kwallet (paquetes python-keyring-gnomey python-keyring-kwallet); podrías escribir un pequeño script de python para controlarlos. De hecho, ya hay uno para Gnome-keyring: gkeyring .

   • Si su contraseña de llavero es la misma que su contraseña de inicio de sesión, puede instalarla libpam-keyringy su llavero se desbloqueará automáticamente cuando inicie sesión. Sin embargo, esto requiere iniciar sesión con una contraseña en lugar de un par de claves.

2. Si está ejecutando Gnome-keyring o Kwallet localmente, puede reenviarlos a través de ssh, con un poco de trabajo. Utilizan sockets Unix, que ssh no puede reenviar. Pero puede usar socatretransmitir los sockets Unix a los sockets TCP localmente y viceversa en la máquina remota:

   while true; do socat TCP-LISTEN:22007 UNIX-CONNECT:"$GNOME_KEYRING_SOCKET"; done &
   ssh -R22007:localhost:22007 remote.example.com
   export GNOME_KEYRING_SOCKET="$HOME/.gnome-keyring-socket"
   while true; do socat UNIX-LISTEN:"$GNOME_KEYRING_SOCKET" TCP4:localhost:22007; done &
   

   Esto se puede automatizar con pequeños scripts de shell en cada lado y una RemoteForwardlínea de entrada ~/.ssh/config. En teoría, debería poder acceder al llavero de gnomo desde la máquina remota. Sin embargo, intenté acceder a él con caballito de mar, y ni siquiera intentó conectarse $GNOME_KEYRING_SOCKET; No sé por qué, y no sé si svn podría acceder al llavero.

3. Puede almacenar su contraseña svn en un sistema de archivos cifrado. Hay varias opciones ; Creo que la forma más sencilla de empezar es encfs. Configuración inicial:

   sudo aptitude install encfs
   encfs ~/.passwords.encrypted ~/.passwords
   mv ~/.subversion/auth ~/.passwords/svn-auth
   ln -s ../.passwords/svn-auth ~/.subversion/auth
   

   Flujo de trabajo normal:

   encfs ~/.passwords.encrypted ~/.passwords
   ... work ...
   fusermount -u ~/.passwords
   

   Este método tiene mi preferencia por varias razones:

   • Tanto la configuración inicial como el flujo de trabajo normal son muy simples.
   • No importa desde dónde inicie sesión, en particular, no necesita tener un servidor X local y usar el reenvío X sobre ssh.
   • Un sistema de archivos cifrado es más versátil que un llavero (aunque es menos conveniente para el uso del llavero, pero en el caso de svn eso no importa).
   • La única herramienta no ubicua que necesita es encfs (que requiere FUSE), y está empaquetada para Ubuntu.

gpg encripta un archivo con la contraseña, pero necesitarás una frase de contraseña para eso (¡y no pierdas la clave privada!).

Supongo que podría ingresar a svn la clave privada y también necesitará la frase de contraseña para usarla, pero toda esta configuración parece un poco extraña.

¿Por qué necesitas hacer esto?