perl - シェル/Perl スクリプトでパスワードを保持するためのベストプラクティスは?

Question

私は最近、何人かの同僚を助けるために Perl とシェルスクリプトのスキルを磨かなければなりませんでした。問題の同僚は、大規模な Oracle データベースバックエンドを使用して内部アプリケーションからいくつかのレポートを提供する任務を負っていますが、これを行うスキルがありません。私にそんなスキルがあるのかと疑問に思う人もいるかもしれませんが（笑）、そう思っている人も多いようです。

だから私の質問に-データベースからレポートを抽出するために、私のスクリプトは明らかに接続してクエリを実行する必要があります。これまでのところ、データベースのユーザー名とパスワードを保存する場所の適切な解決策を思い付くことができなかったため、現在はスクリプトにプレーンテキストとして保存されています。

おそらくCPANモジュールとして、他の誰かがすでに書いているこれに対する良い解決策はありますか? または、ファイルシステムの別の場所に隠されている完全に別のファイルにユーザー/パスワードの組み合わせを保持するなど、他に行うべきことがありますか? それとも、システム全体の grep を使用してスクリプトから引き出されるのを避けるために、単純に暗号化したままにしておく必要がありますか?

編集: Oracle データベースは HP-UX サーバー上にあります。
アプリケーションサーバー (シェルスクリプトを実行) は Solaris です。
スクリプトを自分だけが所有するように設定することはできません。複数のサポート担当者がアクセスできるサービスアカウントがスクリプトを所有する必要があります。
スクリプトは、cron ジョブとして実行することを目的としています。
私は公開鍵認証を使いたいと思っていますが、Oracleでそれを機能させる方法を知りません-そのような方法があれば-教えてください!

score 7 · Accepted Answer

私見のベストプラクティスは、シェル/Perlスクリプトにパスワードを保持しないことです。それが公開鍵認証です。

score 5 · Accepted Answer

スクリプトがサーバーからリモートで実行されている場合。

レポートを表示する
ログインしているユーザーに、レポートビューで選択するためのアクセス権のみを付与します。
パスワードを保存するだけです。

そうすれば、ユーザーができることは、レポートのデータを選択することだけです。たまたまパスワードを入手したとしても、そのパスワードでできることは限られています。

score 4 · Accepted Answer

個人的には、アプリケーションとは別に配布される構成ファイルにパスワードを保持し、特定のマシン/環境に変更できます。シェルスクリプトでは、これらをメインスクリプト内で入手できます。

ただし、Perl にはさまざまなアプローチがあります。コマンドラインオプションについてGetopt::Longを調べたり (さらにGetopt::ArgvFileを使用して単純な構成ファイルに格納することもできます)、あるいはConfig::IniFilesのようなものを調べて、その背後にあるもう少し強力なものを探してください。これらは私が通常使用する 2 つのタイプですが、他にも使用可能な構成ファイルモジュールがあります。

score 1 · Accepted Answer

kshとbashにタグを付けたので、Linuxを想定します。

問題のほとんどは、ユーザーがスクリプトを読んで、ファイルの非表示/暗号化に使用した方法を見つけることができれば、同じことを手動で実行できることです。

より良い方法は、次のことを行うことです。

スクリプトを作成して、自分だけが表示/読み取り/開くことができるようにします。chmod700それ。パスワードをハードコードします。
ユーザーが実行可能でsudoを実行する「ランチャー」スクリプトを用意します。

このようにして、ユーザーはランチャースクリプトを確認し、それを調べて、コマンドラインが1つしかないことを確認できます。彼らはそれを実行でき、それは機能しますが、sudoされたスクリプトのソースを読み取る権限がありません。

score 1 · Accepted Answer

パスワードを保存するには、最初にスクリプト自体にハードコードされたキーを使用し、オプションでファイルに保存されたキーを使用して 2 段階の暗号化ルーチンを実行できます (ファイル許可を使用してアクセスを制限するように設定されています)。

特定の状況では、キーファイル (+ スクリプトからのキー) を使用できます。または、状況の要件がそれほど大きくない場合は、スクリプトにハードコーディングされたキーを使用して暗号化を使用できます。どちらの場合も、パスワードは構成ファイルで暗号化されます。

どうにかしてクリアテキストのパスワードを解読して取得できるようにする必要があるため、完全な解決策はありません...そして、あなたがそれを行うことができれば、他の誰かが正しい情報を持っていればそれを行うこともできます.

特に、(exe ではなく) perl スクリプトを提供する状況では、暗号化 (およびハードコードされたキー) を行う方法を簡単に確認できます...そのため、キーファイルを使用するオプションを許可する必要があります (ファイルシステムのアクセス許可によって保護されている必要があります)。

実装方法の実用的な例はこちら

score 1 · Accepted Answer

実行している Oracle のバージョンがわかりません。古いバージョンの Oracle (9i Advanced Security より前) では、一部の DBAが trueCREATE USER OPS$SCOTT IDENTIFIED BY EXTERNALLYに設定REMOTE_OS_AUTHENTします。

これは、リモートの Sun マシンがユーザーを SCOTT として認証し、Oracle DB がその認証を受け入れることを意味します。

これは悪い考えです。

SCOTT のローカルユーザーで任意の Windows XP をイメージできるため、パスワードなしで DB にログインできます。

残念ながら、Oracle 9i DB について知っている唯一のオプションは、ユーザー名/パスワードをスクリプトまたはクライアントマシンからアクセスできる場所に保存しないことです。

どのようなソリューションであっても、コミットする前にOracle のProject Lockdownを確認する価値があります。

score 1 · Accepted Answer

良い解決策はありません。パスワードを少し難読化することはできますが、保護することはできません。

DBセットアップを制御できる場合は、パスワードなしで名前付きパイプ（少なくともmysqlがサポート）で接続を試み、OSに権限を処理させることができます。

権限が制限されたファイルに資格情報を保存することもできます。

score 0 · Accepted Answer

SolarisサーバーからANTを使用してSQLコードをMSSQL（実際にはそのMSSQLサーバー上の任意のデータベースに展開するため、役割はSysAdminである必要があります）にSQLコードを展開する開発者と同様の問題が発生しました。繰り返しになりますが、ユーザー名とパスワードをANT build.xmlファイルに保存したくなかったので、私の解決策は理想的ではないとわかっていますが、次のようになります。

ユーザー名とパスワードの名前と値のペアをプレーンテキストファイルに保存します
（Solarisの場合）ファイルを暗号化し、特定の管理者だけが知っているパスフレーズを使用する
暗号化されたファイルのみをSolarisシステムに残します
ANT build.xmlは、sudo復号化を実行し、管理者が入力したパスフレーズの入力を求めます
ANTは、SQL文字列の変数としてユーザー名とパスワードをロードする復号化されたファイルをソースします
ANTはすぐに平文ファイルを削除しました
ANTはコードをデプロイして終了します

これはすべてほんの数秒で発生し、SQLのユーザー名とパスワードがサーバー上で目に見える形でアクセスされることはありません。コードは本番環境で許可された管理者によってデプロイされるため、開発者はコードにコードを含める必要はありません。

私はそれがより良いかもしれないと確信しています、しかし...

JB

score 0 · Accepted Answer

UNIXでは、これらのスクリプトを常にsetuidにして、ユーザーとパスワードの情報を厳重に保護されたファイルに保存します（ディレクトリツリー全体は通常のユーザーには読み取り/検索できず、ファイル自体はスクリプトの所有者のみが読み取り可能です）。

score 0 · Accepted Answer

それらを別のファイルに保存し、簡単に暗号化して、必要なテーブルへの読み取り専用アクセス権を持つ別のユーザーをデータベースに作成します。ファイルが読み取られたと思われる場合は、そのユーザーのみへのアクセスを遮断できます。

凝ったものにしたい場合は、SUIDプログラムが/ proc // exeとcmdline（Linuxの場合）をチェックしてから、ユーザー名を解放することができます。

score 0 · Accepted Answer

Windows では、クリアテキストのパスワードを含むフォルダーとその中にファイルを作成します。スケジュールされたジョブ (スクリプトまたはバッチ) を実行するユーザーを、このフォルダーとファイルへの読み取り/書き込みアクセス権を持つ唯一のユーザーとして設定します。（管理者も削除）。他のすべてのスクリプトに、この制限付きファイルから平文のパスワードを読み取るコードを追加します。

これで十分な場合があります。

キーワード: パスワードのハードコーディング

score 0 · Accepted Answer

このスレッドを今まで見たことがなかったのは残念です。とても面白そうです。将来スレッドに出くわす人のために、2 セントを追加します。

DBサーバー自体でOS認証を使用することをお勧めします-REMOTE_OS_AUTHENTはまだFALSEです。

別のマシンからスクリプトを呼び出す場合は、フレーズのない SSH キーをセットアップし、SSH を使用してアクセスします。次に、SQL の結果を呼び出し元のマシンにパイプで戻すことができ、この情報をさらに処理できます。

これを行うと、パスワードをどこにでもコーディングする必要がなくなります。もちろん、悪意のある管理者がフレーズレスキーを乗っ取って使用した場合、DB ホストのユーザーアカウントにもアクセスでき、OS 認証済み DB ユーザーが実行できる操作を行うことができます。これを軽減するには、その OS ユーザーのデータベース権限を最小限に抑えることができます。たとえば、「読み取り専用」としましょう。

インゴ

perl - シェル/Perl スクリプトでパスワードを保持するためのベスト プラクティスは?

13 に答える 13

Related

Reference

perl - シェル/Perl スクリプトでパスワードを保持するためのベストプラクティスは?