¿Hay alguna manera de pasar datos confidenciales en bash usando un indicador, para cualquier comando?

Supongamos que estaba usando sha1passpara generar un hash de alguna contraseña sensible en la línea de comando. Puedo usar sha1pass mysecretpara generar un hash de mysecretpero esto tiene la desventaja que mysecretahora está en el historial de bash. ¿Hay alguna manera de lograr el objetivo final de este comando mientras se evita revelar mysecreten texto plano, tal vez utilizando un passwdindicador de estilo?

También estoy interesado en una forma generalizada de hacer esto para pasar datos confidenciales a cualquier comando. El método cambiaría cuando los datos confidenciales se pasan como un argumento (como en sha1pass) o en STDIN a algún comando.

¿Hay alguna manera de lograr esto?

Editar : Esta pregunta atrajo mucha atención y se han ofrecido varias buenas respuestas a continuación. Un resumen es:

• Según la respuesta de @ Kusalananda , idealmente uno nunca tendría que dar una contraseña o secreto como argumento de línea de comandos a una utilidad. Esto es vulnerable de varias maneras según lo descrito por él, y uno debería usar una utilidad mejor diseñada que sea capaz de tomar la entrada secreta en STDIN
• La respuesta de @ vfbsilva describe cómo evitar que las cosas se almacenen en el historial de bash
• La respuesta de @ Jonathan describe un método perfectamente bueno para lograr esto siempre que el programa pueda tomar sus datos secretos en STDIN. Como tal, he decidido aceptar esta respuesta. sha1passen mi OP fue solo un ejemplo, pero la discusión ha establecido que existen mejores herramientas que toman datos sobre STDIN.
• Como @R .. señala en su respuesta , el uso de la expansión de comandos en una variable no es seguro.

En resumen, acepté la respuesta de @ Jonathan ya que es la mejor solución dado que tiene un programa bien diseñado y con buen comportamiento para trabajar. Aunque pasar una contraseña o un secreto como argumento de la línea de comandos es fundamentalmente inseguro, las otras respuestas proporcionan formas de mitigar las preocupaciones simples de seguridad.

Si usa el shell zsho bash, use la opción -s en el readshell incorporado para leer una línea del dispositivo terminal sin que se repita.

IFS= read -rs VARIABLE < /dev/tty

Luego puede usar una redirección elegante para usar la variable como stdin.

sha1pass <<<"$VARIABLE"

Si alguien corre ps, todo lo que verá es "sha1pass".

Eso supone que sha1passlee la contraseña de stdin (en una línea, ignorando el delimitador de línea) cuando no se le da ningún argumento.

Idealmente, nunca escriba una contraseña de texto sin cifrar en la línea de comando como argumento para un comando. Al hacerlo, la contraseña se convierte en un argumento para el comando, y los argumentos de la línea de comando se pueden ver en la tabla de procesos mediante el uso de herramientas simples como pso iniciar sesión en algunos registros de auditoría.

Dicho esto, ciertamente hay formas de ocultar la contraseña real del historial de comandos del shell.

sha1pass "$( head -n 1 )"

Luego ingrese la contraseña y presione Enter. El headcomando utilizado aquí acepta exactamente una línea de entrada y la última línea nueva que escriba no formará parte de los datos a los que se pasa sha1pass.

Para evitar que los caracteres hagan eco:

sha1pass "$( stty -echo; head -n 1; stty echo )"

El stty -echocomando desactiva el eco de los caracteres escritos en el terminal. El eco se restaura con stty echo.

Para pasar la entrada estándar, ese último comando podría modificarse (lo habría hecho si hubiera sha1passaceptado los datos en la entrada estándar, pero parece que esta utilidad en particular está ignorando su entrada estándar):

{ stty -echo; head -n 1; stty echo; } | somecommand

Si necesita una entrada de varias líneas (lo anterior supone que se debe pasar una sola línea, sin caracteres de nueva línea al final), reemplace todo el headcomando con caty termine la entrada (suponiendo que somecommandse lea hasta el final del archivo) con Ctrl+D( siguiente Returnsi desea incluir un carácter de nueva línea en la entrada, o dos veces si no).

Esto funcionaría independientemente de qué shell estuviera utilizando (siempre que fuera un shell tipo Bourne o rc).

Se pueden hacer algunos shells para no guardar los comandos escritos en sus archivos de historial si el comando está precedido por un espacio. Esto generalmente implica tener que establecer HISTCONTROLel valor ignorespace. Esto es apoyado por al menos bashy kshen OpenBSD, pero no por ejemplo ksh93o dash. zshlos usuarios pueden usar la histignorespaceopción o su HISTORY_IGNOREvariable para definir un patrón a ignorar.

En los shells que admiten la lectura con readcaracteres sin eco en el terminal, también puede usar

IFS= read -rs password     # -s turns off echoing in bash or zsh
                           # -r for reading backslashes as-is,
                           # IFS= to preserve leading and trailing blanks
sha1pass "$password"

pero esto obviamente todavía tiene el mismo problema al revelar potencialmente la contraseña en la tabla de procesos.

Si la utilidad lee de la entrada estándar y el shell admite "here-strings", lo anterior podría cambiarse a

IFS= read -rs password
somecommand <<<"$password"

Resumen de comentarios a continuación:

• Ejecutar un comando con una contraseña dada en la línea de comando, lo que hace todos los comandos anteriores, excepto el que canaliza los datos al comando, hará que la contraseña sea visible para cualquiera que se ejecute psal mismo tiempo. Sin embargo, ninguno de los comandos anteriores guardará la contraseña ingresada en el archivo de historial del shell si se ejecuta desde un shell interactivo.

• Los programas que se comportan bien y que leen contraseñas de texto sin cifrar lo hacen leyendo desde su entrada estándar, desde un archivo o directamente desde el terminal.

• sha1pass requiere la contraseña en la línea de comando, ya sea ingresada directamente o usando alguna forma de sustitución de comando.

• Si es posible, use otra herramienta.

Si configuras HISTCONTROLasí:

HISTCONTROL=ignorespace

e inicie el comando con un espacio:

~$  mycommand

No se almacenará en el historial.

Pase datos confidenciales a través de una tubería o here-doc:

command_with_secret_output | command_with_secret_input

o:

command_with_secret_input <<EOF
$secret
EOF

Está bien que los secretos estén en variables de shell (no exportadas), pero nunca puede usar esas variables en líneas de comando, solo en documentos aquí y componentes internos de shell.

Como señaló Kusalananda en un comentario, si está ingresando comandos en un shell interactivo, las líneas que ingrese para un documento aquí se almacenarán en el historial del shell, por lo que no es seguro escribir una contraseña allí, pero aún así debería estar seguro para usar variables de shell que contienen secretos; el historial contendrá el texto en $secretlugar de lo que se haya $secretexpandido.

El uso de expansiones de comandos no es seguro :

command_with_secret_input "$(command_with_secret_output)"

porque la salida se incluirá en la línea de comando y será visible en la pssalida (o lectura manual desde / proc) excepto en sistemas con endurecido / proc.

La asignación a una variable también está bien:

secret=$(command_with_secret_output)

Simplemente escriba el valor en un archivo y pase el archivo:

$ cat > mysecret
Big seecreeeet!
$ cat mysecret | sha1pass 

No estoy seguro de cómo sha1passfunciona, si puede tomar un archivo como entrada, puede usarlo sha1pass < mysecret. Si no, el uso catpodría ser un problema ya que incluye la nueva línea final. Si ese es el caso, use (si es headcompatible -c):

head -c-1 mysecret | sha1pass 

Si lo que hizo terdon es posible, entonces esa es la mejor solución, pasando por la entrada estándar. El único problema que queda es que escribió la contraseña en el disco. Podemos hacer esto en su lugar:

stty -echo
echo -n "password: "
head -1 | sha1pass
stty echo

Como dijo Kusalananda, stty -echoasegura que lo que escribes no se vea hasta que lo vuelvas a hacer stty echo. head -1obtendrá una línea de entrada estándar y la pasará a sha1pass.

yo usaría

sha1pass "$(cat)"

catleería desde stdin hasta EOF, que puede ser causado presionando Ctrl + D. Luego, el resultado se pasaría como argumento asha1pass