ruby - 如何在我的脚本中保护纯文本密码？ ( ruby )

Question

在我的 ruby​​ 脚本中，我需要传递用户名和

• 纯文本形式的密码，以便登录。用户名和密码目前都存储在我的脚本中。

• 我无法控制我从脚本登录的服务器。该脚本在本地运行良好，将来我想转到我的

• webhosting provider 并从那里运行它(我有 ssh 访问权限)

• 使用 cron。有什么办法/方法如何

• 保护密码以防有人偶然访问此脚本？

Answer 1

我越想越觉得您必须信任您的托管服务。我会确保托管服务具有“游戏中的皮肤”:也就是说，他们拥有足够多的“知名度”帐户，如果被发现不可信，他们将付出非常高昂的代价(丢失帐户和销售)。

而且无论您认为托管服务是否值得信赖，您都应该制定一个计划，以防目标帐户遭到入侵。您将通知谁，您将如何停用该帐户等。

我能想到的唯一技术解决方案——您手动登录，捕获 cookie，并将该 cookie 提供给脚本——保护密码，但恶意主机可能会使用该 cookie 进行他想要的任何破坏在目标系统上使用附加到该 cookie 的任何特权，包括更改您的密码。所以这根本不是解决方案。

哦，说到权限:您需要自动执行的任务是否可以使用权限较低的目标帐户(例如只读帐户或无法对其配置文件进行任何更改的帐户)来完成？在托管服务上仅拥有您的低权限凭据会降低您的风险(或“暴露”，正如多音节人群喜欢说的那样)。

之前的回答，发现行不通，下线。

---

您可以使用另一个密码来加密用户 ID 和密码。为了运行，必须为脚本提供它的 密码。它使用该密码来解密 Web 服务的用户名和密码。确保脚本的密码不会存储在任何地方，而只会保存在内存中，并且只保存足够长的时间来解密最终用户 ID 和密码。

如果真的很重要，请确保运行脚本的连接是加密的(ssh、ssl 等)，并确保脚本仅使用 https 登录。

这并不能使您对拥有 root 权限的人无懈可击(在某些时候，明文用户 ID 和密码将在内存中，因此容易受到攻击)，但确实需要他们做更多的工作能够获取用户 ID/密码。

已更新:自动化的要求使上述解决方案不好。