Ben cron (veya herhangi bir Ubuntu Server uyumlu iş planlama aracı) kullanarak bir gpg şifre çözme otomatikleştirme ile görevli. Otomatikleştirilmesi gerektiğinden kullandım, --passphraseancak kabuk geçmişinde bitiyor, bu yüzden işlem listesinde görülebilir.
İyi (tercihen büyük) güvenlik standartlarını korurken şifre çözmeyi otomatikleştirmeye nasıl gidebilirim?
Bir örnek çok takdir edilecektir.
Yanıtlar:
Parolayı yalnızca cron işinin kullanıcısı tarafından okunabilen bir dosyada saklayın ve oradaki parolayı okumayı --passphrase-filesöyleme seçeneğini kullanın gpg.
Bu, parolanın bellekteki işlem bilgilerinde görünmemesini sağlar. Güvenlik düzeyi, içeriğinin kopyalandığı her yer de dahil olmak üzere, parolayı depolayan dosyaya erişim düzeyi (ve anahtarı içeren dosyaya erişim düzeyi) tarafından belirlenir, ve çevrimdışı erişilebilirlik (diski sunucudan çıkarmak). Bu güvenlik düzeyinin yeterli olup olmadığı, dosyayı tutan sunucuya erişim denetimlerinize, fiziksel olarak ve yazılımda ve azaltmaya çalıştığınız senaryolara bağlı olacaktır.
Mükemmel güvenlik standartları istiyorsanız , anahtarınızı (ve parolanızı) yerel olarak depolamak yerine bir donanım güvenlik modülü kullanmanız gerekir . Bu, anahtarın yerinde kullanılmasını engellemez, ancak başka bir yerde kopyalanmasını ve kullanılmasını önler.
Şifre çözmeyi otomatikleştirmek, parolayı bir yerde saklamanız veya parola kullanmamanız gerektiği anlamına gelir (benim yazarken Stephen tarafından gönderilen diğer cevaba işaret ettiği gibi ek seçenekler kullanmazsanız)! Bunların hiçbiri, iyi veya mükemmel güvenlik standartları gereksiniminize uymuyor.
yani gereksiniminiz güvenli olması ile uyumlu değildir.
Gibi şeylere güvenebilirsiniz - kök olmalısınız, parolamın gerçekten kafa karıştırıcı bir adın saklandığı dosyayı verdim, altta yatan dosya sistemlerini vb. Şifreledim, ancak hepsi katmanlar ilk etapta kök olduktan sonra atlatmak önemsizdir.
Parolanın işlem listesinde görünmesini engelleyen seçenek --passphrase-file <file-name>.
Ancak, bu sadece parolayı kaldırmaktan daha güvenli değildir.
psEğer yoksa vbhidepidüzerinde/proc, ancak bir komut dosyası (cron veya başka bir şekilde) çalıştıran bir kabuk etkileşimli olmayan olup yazma tarih sürece yanlış yapılandırmadığınızdan olmalıdır.