셸 / Perl 스크립트에서 암호를 유지하는 모범 사례는 무엇입니까?
저는 최근에 동료들을 돕기 위해 펄과 셸 스크립트 기술을 일소해야 했습니다.문제가 된 동료들은 대규모 Oracle 데이터베이스 백엔드를 갖춘 내부 애플리케이션에서 일부 보고서를 제공하는 업무를 맡았지만, 이를 수행할 기술이 없습니다.어떤 사람들은 제가 그런 기술을 가지고 있는지에 대해 의문을 가질 수도 있지만, 분명히 사람들은 제가 그런 기술을 가지고 있다고 생각하기 때문에 그것에서 벗어날 수 없다는 것을 의미합니다.
그래서 제 질문은 - 데이터베이스에서 보고서를 추출하기 위해서, 제 스크립트는 분명히 쿼리를 연결하고 실행해야 한다는 것입니다.데이터베이스의 사용자 이름과 비밀번호를 어디에 저장할 것인지에 대한 좋은 해결책을 아직 찾지 못해서 현재 스크립트에 평문으로 저장되어 있습니다.
CPAN 모듈로서 다른 사람이 이미 작성한 이 문제에 대한 좋은 해결책이 있습니까?아니면 사용자/비밀번호 콤보를 파일 시스템의 다른 곳에 숨겨두는 것과 같이 완전히 별개의 파일에 보관하는 것이 더 나은 일이 있습니까?아니면 시스템 전체의 grep으로 스크립트에서 빼내는 것을 방지하기 위해 사소한 암호화를 유지해야 합니까?
편집: Oracle 데이터베이스는 HP-UX 서버에 있습니다.
셸 스크립트를 실행하는 애플리케이션 서버는 Solaris입니다.
스크립트를 저만 소유하도록 설정하는 것은 절대로 허용되지 않습니다. 여러 지원 담당자가 액세스할 수 있는 서비스 계정을 소유해야 합니다.
스크립트는 cron 작업으로 실행됩니다.
공개 키 인증을 받고 싶지만 Oracle과 함께 작동할 수 있는 방법을 알지 못합니다. (만약 그러한 방법이 있다면) 저를 깨우쳐 주십시오.
가장 좋은 방법은 셸 / Perl 스크립트에 어떤 비밀번호도 보유하지 않는 것입니다.그것이 바로 공개 키 인증의 목적입니다.
스크립트가 서버에서 원격으로 실행되는 경우.
- 보고서 보기 만들기
- 로그인하려는 사용자에게 보고서 보기에서 선택할 수 있는 권한만 부여합니다.
- 비밀번호만 저장하면 됩니다.
이렇게 하면 사용자가 할 수 있는 일은 보고서에 사용할 데이터를 선택하는 것뿐입니다.만약 누군가가 우연히 비밀번호를 얻었다고 해도, 그들은 비밀번호로 무엇을 할 수 있는지에 대해서는 제한을 받을 것입니다.
개인적으로 나는 애플리케이션과 독립적으로 배포되는 구성 파일에 암호를 보유하고 있으며, 특정 컴퓨터/환경으로 변경할 수 있습니다.셸 스크립트에서는 기본 스크립트 내에서 이들을 소스화할 수 있습니다.
그러나 Perl에는 다양한 접근법이 있습니다.Getopt:를 조사할 수 있습니다.명령줄 옵션을 찾습니다. 추가로 Getopt::ArgvFile을 사용하여 간단한 구성 파일에 저장하거나 Config::IniFiles에서 좀 더 강력한 기능을 사용할 수 있습니다.제가 일반적으로 사용하는 두 가지 유형이지만, 다른 구성 파일 모듈도 있습니다.
좋은 해결책은 없습니다.비밀번호를 조금 더 혼동할 수는 있지만 보안을 유지할 수는 없습니다.
DB 설정을 제어할 수 있는 경우 암호 없이 이름이 지정된 파이프(적어도 mysql은 이를 지원함)로 연결하여 OS에서 권한을 처리하도록 할 수 있습니다.
제한된 권한이 있는 파일에 인증 정보를 저장할 수도 있습니다.
당신이 ksh & bash 태그를 했기 때문에 저는 Linux를 가정하겠습니다.
대부분의 문제는 사용자가 스크립트를 읽고 파일을 숨기거나 암호화하는 데 사용한 방법을 찾을 수 있다면 동일한 작업을 수동으로 수행할 수 있다는 것입니다.
더 나은 방법은 다음과 같습니다.
- 스크립트를 사용자가 보기/읽기/열기만 할 수 있도록 만듭니다.chmod 700 it.비밀번호를 하드코드 해놓습니다.
- 사용자가 실행할 수 있고 sudo를 수행하는 "launcher" 스크립트를 가지고 있습니다.
이렇게 하면 사용자가 실행기 스크립트를 볼 수 있으므로 단일 명령행만 있는지 확인합니다.실행할 수 있고 작동하지만 스크립트의 소스를 읽을 수 있는 권한은 없습니다.
어떤 버전의 Oracle을 실행하고 있는지 잘 모르겠습니다.(9i Advanced Security전)부 DBA를의합니다.CREATE USER OPS$SCOTT IDENTIFIED BY EXTERNALLY그리고 세트REMOTE_OS_AUTHENT
이는 원격 Sun Machine이 사용자를 SCOT로 인증하고 Oracle DB가 해당 인증을 수락할 수 있음을 의미합니다.
이건 나쁜 생각입니다.
스캇의 로컬 사용자가 있는 Windows XP를 이미지화할 수 있듯이 비밀번호 없이 DB에 로그인할 수 있습니다.
유감스럽게도 사용자 이름/비밀번호를 스크립트에 저장하거나 클라이언트 컴퓨터가 액세스할 수 있는 다른 곳에 저장하지 않는 것이 Oracle 9i DB에 대해 알고 있는 유일한 옵션입니다.
귀사의 솔루션이 무엇이든 간에 Oracle의 Project Lockdown을 확인한 후 실행할 가치가 있습니다.
암호를 저장할 때는 두 단계의 암호화 루틴을 수행할 수 있습니다. 첫 번째는 스크립트 자체에 하드 코드화된 키로, 두 번째는 파일에 저장된 키(접근이 제한되도록 파일 권한을 사용하여 설정됨)로 수행할 수 있습니다.
주어진 상황에서 키 파일(스크립트의 키)을 사용하거나, 상황 요구 사항이 그리 크지 않다면 스크립트에서 키를 사용한 암호화를 사용하면 됩니다.두 경우 모두 암호는 구성 파일에서 암호화됩니다.
완벽한 해결책은 없습니다. 암호를 해독하고 명확한 텍스트 암호를 얻을 수 있어야 하기 때문입니다.그리고 당신이 할 수 있다면 다른 사람도 할 수 있습니다. 그들이 올바른 정보를 가지고 있다면요.
특히 펄 스크립트(exe 대 perl script)를 제공하는 상황에서는 암호화(및 하드코딩된 키)를 수행하는 방법을 쉽게 확인할 수 있습니다.따라서 키 파일(파일 시스템 권한으로 보호 가능)을 사용하는 옵션도 허용해야 합니다.
구현 방법에 대한 몇 가지 실용적인 예를 소개합니다.
UNIX에서는 항상 이러한 스크립트를 setuid로 만들고 사용자와 암호 정보를 보호가 철저한 파일에 저장합니다(전체 디렉터리 트리는 일반 사용자가 읽을 수 없거나 검색할 수 있으며 파일 자체는 스크립트 소유자만 읽을 수 있습니다).
별도의 파일에 보관하고, 극히 일부 암호화된 상태로 데이터베이스에 필요한 테이블에 대한 읽기 전용 액세스 권한을 가진 별도의 사용자를 만듭니다.파일을 읽었다고 생각되는 경우 해당 사용자에 대한 액세스를 차단할 수 있습니다.
멋을 내고 싶다면 SUID 프로그램이 /proc//exe 및 cmdline(리눅스에서)을 확인한 후 사용자 이름을 해제할 수 있습니다.
개발자들이 Solaris 서버의 ANT를 사용하여 SQL 코드를 MSSQL에 배포하는 것과 비슷한 문제가 있었습니다(사실은 해당 MSSQL 서버의 어떤 데이터베이스에도 적용되므로 역할이 SysAdmin이어야 함).ANT build.xml 파일에 사용자 이름과 비밀번호를 저장하고 싶지 않아 이상적이지 않다는 것을 알고 있는 제 솔루션은 다음과 같습니다.
- 사용자 이름 및 암호에 대한 이름/값 쌍을 일반 텍스트 파일에 저장
- (Solaris에서) 파일을 암호화하고 특정 관리자에게만 알려진 암호 구문 사용
- Solaris 시스템에 암호화된 파일만 남깁니다.
- ANT build.xml은 sudo 암호 해독을 실행하고 admin이 입력한 암호 구문에 대한 프롬프트를 표시합니다.
- ANT 소스가 SQL 문자열의 변수로 사용자 이름과 암호를 로드하는 파일의 암호를 해독했습니다.
- ANT는 평문 파일을 즉시 삭제했습니다.
- ANT가 코드를 배포하고 종료합니다.
이 모든 것은 몇 초 만에 이루어지는데, 서버에서 sql 사용자 이름과 암호는 눈에 띄게 접근할 수 없습니다.코드는 운영 중인 관리자에 의해 배포되므로 개발자는 코드에 포함할 필요가 없습니다.
그게 더 나을 거라 확신하지만...
JB
이 실을 전에 본 적이 없어서 유감입니다. 매우 흥미로워 보이네요.나는 앞으로 그 실에 오는 사람들을 위해 나의 2센트를 추가할 것입니다.
db 서버 자체에서 OS 인증을 사용하는 것을 추천합니다. --REMOTE_OS_AUTHENT는 여전히 FALSE입니다.
다른 시스템에서 스크립트를 호출하는 경우 구문이 없는 SSH 키를 설정하고 SSH를 사용하여 스크립트를 호출합니다.그런 다음 SQL 결과를 호출 시스템으로 파이프백하면 해당 정보를 더 처리할 수 있습니다.
이렇게 하면 암호를 암호화할 필요가 없습니다.물론 악의적인 관리자가 구문 없는 키를 가로채 사용한다면 DB 호스트의 사용자 계정에 액세스하여 OS 인증을 받은 DB 사용자가 할 수 있는 모든 작업을 수행할 수 있습니다.이를 완화하기 위해 해당 OS 사용자에 대한 데이터베이스 권한을 최소한으로 줄일 수 있습니다. 예를 들어 "읽기 전용"이라고 합시다.
인고
창에서 비밀번호가 포함된 폴더와 파일을 클리어 텍스트로 만듭니다.예약된 작업(스크립트 또는 배치)을 실행할 사용자를 이 폴더 및 파일에 대한 읽기/쓰기 권한을 가진 유일한 사용자로 설정합니다.(관리자도 제거).다른 모든 스크립트에 이 제한된 파일에서 클리어 텍스트 암호를 읽을 코드를 추가합니다.
이 정도면 적은 사람들도 충분할 겁니다.
키워드: 암호 하드 코딩
cyberark AIM과 같은 상용 또는 그 이상의 고급 솔루션이 있지만 무료로 즉시 사용할 수 있으므로 SSH 공용/개인용 키를 다시 가져왔습니다. 하나는 이미 생성된 SSH 키 쌍이 보안 정책을 준수하기 때문입니다. 두 번째는 SSH 키 쌍이 이미 키를 보호하기 위한 표준 프로토콜 세트를 가지고 있기 때문입니다.파일 허가, 연속적인 시스템 경화(트립와이어와 같은) 또는 키 회전.
제가 한 방법은 이렇습니다.
아직 ssh 키 쌍이 없는 경우 생성합니다.키 쌍과 디렉토리는 기본 system protocol/permission(ssh-keygen –trsa –b 2048)에 의해 보호됩니다.
ssh 공개 키를 사용하여 문자열을 암호화하고 동일한 .ssh 디렉토리 $echo "secret word" | openssl rsautl - encrypt - inkey ~/.ssh/id_rsa.pub -pubin -out ~/.ssh/secret.dat
ssh 개인 키를 사용하여 키의 암호를 해독하고 매개 변수를 실시간으로 스크립트/AP에 전달합니다.실시간으로 암호 해독할 줄을 포함하는 스크립트/ programe: string=
openssl rsautl -decrypt -inkey ~/.ssh/id_rsa -in ~/.ssh/secret.dat
추신 - 저는 사이버아크 AIM 에이전트리스 솔루션을 실험해 왔습니다.상당한 변화가 필요한 고통입니다API/스크립트에 대한 PI 변경 사항은 진행 상황을 계속 알려줄 것입니다.
언급URL : https://stackoverflow.com/questions/80612/best-practices-for-holding-passwords-in-shell-perl-scripts
'programing' 카테고리의 다른 글
| JSON을 덜 장황하게 하려면 어떻게 해야 합니까? (0) | 2023.09.27 |
|---|---|
| 오래된 Oracle Connection Class를 사용하지 않고 Oracle Connection을 설정하는 방법 (0) | 2023.09.27 |
| 'packages' 요소가 선언되지 않았습니다. (0) | 2023.09.27 |
| 웹 페이지가 로드될 때 자동으로 텍스트 상자에 포커스를 설정하는 방법은 무엇입니까? (0) | 2023.09.27 |
| .animate()의 콜백이 twice jquery로 호출됩니다. (0) | 2023.09.27 |