在bash脚本中加密密钥库密码

Question

我有一个用例，其中我在bash脚本中使用keyool命令，其中我以明文格式输入了Keystore密码。类似的东西：

测验嘘

#!/bin/bash
keytool -keystore <PATH-TO-KEYSTORE> -storepass <CLEARTEXT-PASSWORD> ...

现在需要在脚本中加密这个明文密码，这样就可能不知道实际的密钥库密码。我尝试使用OpenSSL加密默认密码，将其存储在另一个隐藏文件中，并在运行脚本时随时解密密码，但任何有权访问脚本的人都可以查看正在使用的算法，并使用相同的OpenSSL命令解密密码。

我知道keytool需要不惜任何代价解密密码，所以即使密码以任何方式加密，在传递给keytool之前也必须解密，我需要知道是否有任何方式，我可以只允许我的脚本解密密码，而不允许任何合法的黑客。

Answer 1

除非有某种方法可以让正在运行的脚本获得黑客无法获得的信息，否则这在本质上是不可能的。无论你在脚本中添加了什么，黑客都可以在打开跟踪的情况下运行它，手动模拟脚本，或者简单地执行脚本所做的操作，并找出脚本将生成的密钥。

像这样保护密钥需要你有一些黑客无法访问的信息存储。这通常采用硬件安全模块（HSM）的形式，其接口设置为可以执行必要的操作，但密钥材料无法从中提取。这在你的情况下可能不可能或不相关，但是你需要黑客无法访问的东西。