环境变量传递账号密码被日志记录的安全解决方案咨询

方案1：阻止敏感信息写入系统日志 #

sudo默认会将完整的命令行参数和环境变量记录到auth.log，要避免敏感信息被泄露，可通过以下两种方式处理：

• 使用Here-Doc传递命令逻辑：将设置环境变量和执行脚本的操作通过标准输入传递给bash，而非直接作为命令行参数。这样sudo仅会记录bash本身，不会泄露环境变量内容：

  sudo -u someuser bash << 'EOF'
  USERNAME=abc
  PASSWORD=xyz
  /path/to/script/bashscript argument1 argument2
  EOF
  

  注意用单引号包裹EOF，避免本地shell提前解析变量。
• 针对性调整sudoers配置：如果需要保留其他命令的日志，可针对该脚本禁用命令行日志记录（操作前务必用visudo编辑sudoers文件）：

  Defaults!/path/to/script/bashscript log_command=0
  

  该规则会禁止sudo记录执行此脚本时的命令行参数。

方案2：加密传递敏感环境变量 #

通过C程序加密用户名和密码后作为环境变量传递，再在bash脚本中解密，具体步骤如下：

1. C程序加密逻辑：使用对称加密算法（如AES-256-CBC）对USERNAME:PASSWORD格式的字符串加密，密钥从系统密钥环（如keyctl）或权限为600的安全配置文件中获取，绝对禁止硬编码密钥。简化示例（依赖OpenSSL库）：

   #include <openssl/evp.h>
   #include <stdlib.h>
   #include <stdio.h>
   
   // 从系统密钥环获取密钥（简化实现，实际需完善错误处理）
   char* get_secret_key() {
       FILE* fp = popen("keyctl pipe @u user/script_creds_key", "r");
       char* key = malloc(33); // 适配AES-256密钥长度
       fread(key, 1, 32, fp);
       pclose(fp);
       return key;
   }
   
   // 加密明文并返回Base64编码的密文
   char* encrypt_creds(const char* plaintext, const char* key) {
       // 省略AES-256-CBC加密与Base64编码的具体实现
       // 实际需处理初始化向量、加密上下文等细节
   }
   
   int main() {
       char* encrypted = encrypt_creds("abc:xyz", get_secret_key());
       setenv("ENCRYPTED_CREDS", encrypted, 1);
       execlp("sudo", "sudo", "-u", "someuser", "/path/to/script/bashscript", "argument1", "argument2", NULL);
       free(encrypted);
       return 0;
   }
   

2. bash脚本解密逻辑：从环境变量读取密文，用相同密钥解密后拆分出用户名和密码：

   # 从密钥环获取密钥
   SECRET_KEY=$(keyctl pipe @u user/script_creds_key)
   # 解密并拆分凭据
   IFS=: read USERNAME PASSWORD <<< $(echo "$ENCRYPTED_CREDS" | openssl enc -aes-256-cbc -d -k "$SECRET_KEY" -base64)
   # 执行原有脚本逻辑
   

额外系统安全加固方式 #

• 替换敏感信息传递方式：完全避免用环境变量传递敏感内容，改用更安全的方式：
  • 标准输入：C程序通过管道向脚本传递凭据，脚本从stdin读取
  • 临时安全文件：将凭据写入权限为600的临时文件，脚本读取后立即删除
  • 系统密钥管理：使用keyctl、libsecret等工具存储凭据，程序和脚本通过API读取
• 严格限制sudo权限：在sudoers中精确指定允许执行的命令，禁止通配符，例如：

  someadmin ALL=(someuser) NOPASSWD: /path/to/script/bashscript
  

• 日志安全管控：配置rsyslog过滤auth.log中的敏感内容，或启用日志加密存储，定期清理过期日志
• 脚本权限加固：设置脚本权限为chmod 700，仅允许所有者执行，避免其他用户读取或篡改
• 启用强制访问控制：通过SELinux或AppArmor限制脚本的资源访问范围，例如禁止脚本读取无关文件、发起网络请求等

内容的提问来源于stack exchange，提问作者Saurabh Singh