Có an toàn khi sử dụng echo để truyền dữ liệu nhạy cảm vào chpasswd không?

Tôi đang cố gắng thiết lập hàng loạt mật khẩu tài khoản người dùng bằng cách sử dụng chpasswd. Mật khẩu nên được tạo ngẫu nhiên và được in ra stdout(tôi cần ghi lại hoặc đặt chúng vào một cửa hàng mật khẩu), và cũng được chuyển vào chpasswd.

Ngây thơ, tôi sẽ làm điều này như thế này

{
  echo student1:$(head /dev/urandom | tr -dc A-Za-z0-9 | head -c 13 ; echo '')
  echo student2:$(head /dev/urandom | tr -dc A-Za-z0-9 | head -c 13 ; echo '')
} | tee >(chpasswd)

Tuy nhiên, tôi lo lắng về việc chuyển mật khẩu mới dưới dạng đối số dòng lệnh echo, bởi vì các đối số thường hiển thị cho những người dùng khác ps -aux(mặc dù tôi chưa bao giờ thấy bất kỳecho dòng xuất hiện ps).

Có cách nào khác để thêm giá trị vào mật khẩu trả lại của tôi và sau đó chuyển nó vào chpasswdkhông?

Mã của bạn phải an toàn vì echosẽ không hiển thị trong bảng quy trình vì nó được tích hợp sẵn.

Đây là một giải pháp thay thế:

#!/bin/bash

n=20
paste -d : <( seq -f 'student%.0f' 1 "$n" ) \
           <( tr -cd 'A-Za-z0-9' </dev/urandom | fold -w 13 | head -n "$n" ) |
tee secret.txt | chpasswd

Điều này tạo ra tên sinh viên và mật khẩu ncủa bạn, mà không cần chuyển bất kỳ mật khẩu nào trên bất kỳ dòng lệnh nào của bất kỳ lệnh nào.

Các pastekeo tiện ích cùng nhiều file như cột và chèn một dấu phân cách ở giữa chúng. Ở đây, chúng tôi sử dụng :như là dấu phân cách và cung cấp cho nó hai "tệp" (thay thế quy trình). Cái đầu tiên chứa đầu ra của một seqlệnh tạo ra 20 tên người dùng sinh viên và cái thứ hai chứa đầu ra của một đường ống tạo ra 20 chuỗi ngẫu nhiên có độ dài 13.

Nếu bạn có một tệp có tên người dùng đã được tạo:

#!/bin/bash

n=$(wc -l <usernames.txt)

paste -d : usernames.txt \
           <( tr -cd 'A-Za-z0-9' </dev/urandom | fold -w 13 | head -n "$n" ) |
tee secret.txt | chpasswd

Chúng sẽ lưu mật khẩu và tên người dùng vào tệp secret.txtthay vì hiển thị mật khẩu được tạo trong thiết bị đầu cuối.

echo rất có khả năng được tích hợp vào vỏ, vì vậy nó sẽ không xuất hiện trong ps một quy trình riêng biệt.

Nhưng bạn không cần phải sử dụng thay thế lệnh, bạn chỉ có thể có đầu ra từ đường ống trực tiếp đến chpasswd:

{  printf "%s:" "$username";
   head /dev/urandom | tr -dc A-Za-z0-9 | head -c 13 ; echo ''
} | chpasswd 

Nếu bạn muốn thay đổi nhiều mật khẩu chỉ với một lần chạy chpasswd, bạn nên dễ dàng lặp lại các phần thiết yếu. Hoặc biến nó thành một hàm:

genpws() {
    for user in "$@"; do
        printf "%s:" "$user";
        head /dev/urandom | tr -dc A-Za-z0-9 | head -c 13
        echo
    done
}
genpws username1 username2... | chpasswd 

Như một bên: head /dev/urandomcảm thấy một chút kỳ lạ vì urandomkhông phải là định hướng dòng. Nó có thể đọc quá nhiều byte từ nó, điều này sẽ ảnh hưởng đến khái niệm entropy có sẵn của hạt nhân, điều này có thể dẫn đến /dev/randomviệc chặn. Có thể sạch hơn khi chỉ đọc một lượng dữ liệu cố định và sử dụng một cái gì đó nhưbase64 để chuyển đổi các byte ngẫu nhiên thành các ký tự có thể in được (thay vì chỉ ném đi khoảng 3/4 số byte bạn nhận được).

Một cái gì đó như thế này sẽ cung cấp cho bạn khoảng. 16 ký tự và số:

head -c 12 /dev/urandom | base64 | tr -dc A-Za-z0-9 

(nghĩa là, ít hơn 16 lượng +và /ký tự trong đầu ra base64. Cơ hội là 1/32 cho mỗi ký tự, vì vậy nếu tôi có tổ hợp của mình đúng, điều đó mang lại khoảng 99% cơ hội để lại ít nhất 14 ký tự và 99,99% cơ hội rời khỏi ít nhất 12.)