如何为自动restic备份安全存储仓库密码？

系统密钥环方案（适配Ubuntu/Arch Linux） #

Ubuntu（GNOME Keyring） #

• 登录自动解锁是GNOME默认行为，操作步骤：
  1. 用secret-tool存入密码：

     secret-tool store --label='Restic备份密码' restic-repo '我的备份服务器'
     

  2. 备份脚本中提取密码：

     RESTIC_PASSWORD=$(secret-tool lookup restic-repo '我的备份服务器')
     restic backup /要备份的路径 --repo restic://用户@服务器地址:/仓库路径
     

  3. 若需root运行服务，需配置pam_gnome_keyring模块让root密钥环随登录自动解锁。

Arch Linux #

• GnuPG加密+登录自动解锁
  1. 用个人GPG密钥加密密码文件：

     gpg -c --output restic-pass.gpg restic-pass-plain.txt
     

  2. 配置PAM的pam_gpg模块，登录时自动解锁GPG密钥，脚本中解密：

     RESTIC_PASSWORD=$(gpg --quiet --decrypt restic-pass.gpg)
     

• libsecret工具（同Ubuntu逻辑）
  安装libsecret-tools包后，使用secret-tool存取密码，依赖登录会话自动解锁的密钥环。

TPM 2.0硬件加密方案 #

若设备支持TPM 2.0，可将密码绑定到硬件：

• 存入TPM：

  echo "你的restic密码" | tpm2_createprimary -C o -c primary.ctx
  tpm2_create -C primary.ctx -u key.pub -r key.priv -i-
  tpm2_load -C primary.ctx -u key.pub -r key.priv -c key.ctx
  

• 脚本中从TPM解密获取密码，仅当前硬件可解密，即使文件泄露也无法还原密码。

关键注意事项 #

• 优先用普通用户身份运行备份脚本，root可访问所有用户密钥环，风险更高。
• systemd服务需配置After=graphical.target，等待登录会话完成后执行，确保密钥环已解锁。

内容的提问来源于stack exchange，提问作者Agriseld