Shell脚本安全防护：密码加密与凭证管理实践

1. Shell脚本安全防护的必要性

在自动化运维和系统管理工作中，Shell脚本承载着大量敏感操作，其中最常见的就是需要处理各类凭证信息。我曾见过一个典型案例：某企业的备份脚本中将数据库密码明文写在脚本里，结果因脚本意外上传到代码仓库导致数据泄露。这种安全隐患在实际工作中屡见不鲜，特别是在需要自动化执行特权操作的场景下。

敏感信息保护的核心诉求主要体现在三个方面：存储安全、传输安全和执行安全。存储安全要求密码等敏感数据不能以明文形式存在于脚本文件中；传输安全确保在脚本执行过程中不会通过命令行参数、环境变量等方式暴露敏感信息；执行安全则关注脚本运行时的权限控制和操作审计。

2. 密码加密存储方案

2.1 加密算法选型

对于Shell环境下的加密存储，通常有以下几种可行方案：

1. 对称加密：使用openssl的aes-256-cbc算法

   bash复制# 加密示例
   echo "myPassword" | openssl enc -aes-256-cbc -md sha512 -a -pbkdf2 -iter 100000 -salt -pass pass:SecretSalt
   
   # 解密示例
   echo "U2FsdGVkX1..." | openssl enc -aes-256-cbc -md sha512 -a -d -pbkdf2 -iter 100000 -salt -pass pass:SecretSalt
   

2. 非对称加密：结合GPG工具实现

   bash复制# 加密
   echo "myPassword" | gpg --encrypt --recipient user@domain.com -o secret.gpg
   
   # 解密
   gpg --decrypt secret.gpg
   

3. 密钥库方案：使用密钥管理服务如HashiCorp Vault

重要提示：无论采用哪种方案，加密密钥都不应该直接存放在脚本中。推荐通过独立权限控制的配置文件或运行时交互输入获取密钥。

2.2 实践案例：可复用的加密模块

下面是我在实际项目中使用的加密工具函数：

bash复制#!/bin/bash

# 初始化加密环境
init_crypto() {
    local key_file="${1:-$HOME/.secure/keyring}"
    if [[ ! -f "$key_file" ]]; then
        mkdir -p "$(dirname "$key_file")"
        echo "请设置加密密钥并保存在安全位置："
        read -s crypto_key
        echo "$crypto_key" > "$key_file"
        chmod 600 "$key_file"
    fi
}

# 加密函数
encrypt_data() {
    local plaintext="$1"
    local key_file="${2:-$HOME/.secure/keyring}"
    local salt=$(date +%s | sha256sum | base64 | head -c 16)
    
    echo "$plaintext" | openssl enc -aes-256-cbc -md sha512 -a -pbkdf2 -iter 100000 \
        -salt -pass file:"$key_file" -S "$salt"
}

# 解密函数
decrypt_data() {
    local ciphertext="$1"
    local key_file="${2:-$HOME/.secure/keyring}"
    
    echo "$ciphertext" | openssl enc -aes-256-cbc -md sha512 -a -d -pbkdf2 -iter 100000 \
        -salt -pass file:"$key_file"
}

使用示例：

bash复制source crypto_utils.sh

# 首次使用初始化
init_crypto

# 加密密码
encrypted_pwd=$(encrypt_data "db_password123")

# 在脚本中使用解密后的密码
db_conn=$(decrypt_data "$encrypted_pwd") mysql -u user -p"$db_conn"

3. 避免明文传输的技术方案

3.1 命令行参数的安全隐患

常见的不安全做法：

bash复制# 危险示例：密码通过命令行参数传递
./backup_script.sh --password=123456

这种方式的危险在于：

• 密码会出现在进程列表(ps -ef)中
• 可能被写入到shell历史记录(~/.bash_history)
• 可能被记录到系统日志中

3.2 安全的凭证传递方式

3.2.1