Shell脚本敏感信息防护与密钥管理实践

1. Shell脚本敏感信息防护基础

在Linux系统管理和自动化运维工作中，Shell脚本承载着大量敏感操作。我曾在一个金融系统迁移项目中，亲眼见过因为脚本中硬编码数据库密码导致的安全事件——攻击者通过Git历史记录获取了生产环境凭证，造成了近百万的数据修复成本。这个惨痛教训让我深刻认识到，Shell脚本中的敏感信息保护不是可选项，而是必选项。

敏感信息主要分为三类：

1. 认证凭据类：包括SSH密码、API密钥、OAuth令牌等
2. 系统连接信息：数据库连接字符串、Redis密码、消息队列配置等
3. 业务敏感数据：用户手机号、身份证号等PII信息

这些信息一旦泄露，轻则导致服务中断，重则引发数据泄露事故。根据SANS研究所的报告，超过60%的运维安全事件源于配置信息泄露。

2. 敏感信息存储方案对比与实践

2.1 环境变量方案

环境变量是最基础的敏感信息存储方式，但需要注意几个关键点：

bash复制# 错误示例：直接在脚本中设置
export DB_PASSWORD="P@ssw0rd123"

# 正确做法：通过外部文件加载
source /etc/.env_secure
echo "Connecting with ${DB_USER}@${DB_HOST}"

重要提示：环境变量仍然会被ps命令查看，建议配合以下措施：

1. 设置.env文件权限为600
2. 在脚本开头执行umask 077
3. 避免将敏感变量传递给子进程

2.2 加密配置文件方案

对于需要存储大量配置的场景，我推荐使用GPG加密的配置文件：

bash复制# 生成加密配置
gpg --symmetric --cipher-algo AES256 --output config.encrypted config.ini

# 脚本中解密使用
temp_conf=$(mktemp)
gpg --quiet --decrypt --batch --passphrase "$MASTER_KEY" config.encrypted > $temp_conf
source $temp_conf
rm -f $temp_conf

实测性能：在AWS t3.medium实例上，AE