“ ชื่อผู้ใช้ curl -u: รหัสผ่าน http://example.com” ปลอดภัยหรือไม่

คือcurl -u username:password http://example.comความปลอดภัยหรือไม่

ถ้าไม่คุณสามารถให้คำอธิบายสั้น ๆ ว่าใครบางคนสามารถรับรหัสผ่านของคุณได้หรือไม่?

ไม่ปลอดภัยเนื่องจาก cURL จะใช้การตรวจสอบเบื้องต้นที่โปรโตคอล HTTP ส่งรหัสผ่านของคุณเป็นข้อความธรรมดา เมื่อคุณระบุusername:passwordสตริงมันจะถูกแปลงเป็นสตริงBASE64ในส่วนหัว HTTP:

GET / HTTP/1.1
Host: example.com
User-Agent: Mozilla/5.0
Accept: text/html
Authorization: Basic dXNlcm5hbWU6cGFzc3dvcmQ=

ทุกคนสามารถที่จะสกัดกั้นการจราจร HTTP (ผู้ให้ของคุณทุกคนเข้าถึงไร้สาย AP เช่นเดียวกับคุณ ฯลฯ ) จะสามารถกู้คืนรหัสผ่านโดยเพียงแค่ใช้แปลง BASE64 ออนไลน์

โปรโตคอล HTTPS จะทำให้สิ่งต่าง ๆ ดีขึ้นด้วยการสร้างการเชื่อมต่อแบบเข้ารหัสก่อนที่จะส่งส่วนหัวนี้ป้องกันรหัสผ่านจากการเปิดเผย อย่างไรก็ตามสิ่งนี้ใช้ได้เฉพาะเมื่อผู้ใช้ให้ความสนใจเมื่อถูกขอให้ยืนยันใบรับรองที่ไม่รู้จักอนุญาตข้อยกเว้นด้านความปลอดภัยและอื่น ๆ

โปรดทราบว่าคำสั่งอาร์กิวเมนต์อาจพร้อมใช้งานสำหรับผู้ใช้รายอื่นบนเครื่องเดียวกันเพื่อดูเช่นps -ef/ ระบบไฟล์ proc ในประวัติทุบตีคุณและในบันทึกเทอร์มินัลของคุณ (ขอบคุณสำหรับความคิดเห็นของ @ Lambert ที่สังเกตสิ่งนี้) cURL ในบางแพลตฟอร์มพยายามซ่อนรหัสผ่านดังนั้นตัวอย่างเช่นps -efคุณอาจจะเห็นพื้นที่ว่างแทนรหัสผ่าน อย่างไรก็ตามแทนการส่งผ่านรหัสผ่านเป็นอาร์กิวเมนต์บรรทัดคำสั่งมีม้วนพรอมต์โดยตรงสำหรับรหัสผ่านจะดีกว่าตามที่กล่าวไว้ในคำถามที่พบบ่อยม้วน

มันไม่ปลอดภัย ผู้ใช้ทุกคนสามารถเห็นพารามิเตอร์บรรทัดคำสั่งได้

สิ่งนี้สามารถทำได้ในวิธีที่ปลอดภัยยิ่งขึ้นโดยใช้พารามิเตอร์ --netrc-file

1. สร้างไฟล์ที่ได้รับอนุญาต 600

ตัวอย่างเช่น: vi / root / my-file

เครื่อง example.com

ลงชื่อเข้าใช้ USERNAME

รหัสผ่าน PASSWORD

บันทึกและปิดไฟล์

2. ใช้ด้านล่างเพื่อเข้าถึง URL ด้วยชื่อผู้ใช้และรหัสผ่าน

curl --netrc-file / root / my-file http://example.com

3. เสร็จสิ้น

ไม่ปลอดภัยเมื่อใช้รูปแบบ HTTP เพื่อให้ปลอดภัยคุณควรใช้ HTTPS

หากต้องการซ่อนรหัสผ่านไม่ให้ปรากฏในประวัติคำสั่งให้ระบุชื่อผู้ใช้เท่านั้น Curl จะถามรหัสผ่านหากไม่ได้ระบุไว้ในคำสั่ง

คำตอบสั้น ๆ คือไม่ ... แต่ ....

หากไม่มีตัวเลือกด้านเซิร์ฟเวอร์คุณสามารถเพิ่มความปลอดภัยได้

1. หากนี่เป็นอินทราเน็ตเฉพาะที่ให้แยกโดเมนการออกอากาศและห้ามใช้ WiFi หรือวิทยุ
2. ดังที่ Shameer กล่าวให้ใช้ไฟล์. netrc เก็บค่าไว้ในโค้ด
3. หากคุณเชื่อถือหน่วยความจำนั้นปลอดภัยให้ใช้ vars สำหรับสภาพแวดล้อม $ PSWD
4. หากนี่เป็นระบบอัตโนมัติให้เรียกใช้จาก crontab ของรูท
5. ... ในภาชนะ
6. ... จาก VM พร้อมดิสก์ที่เข้ารหัส

สิ่งเหล่านี้ไม่มีความปลอดภัยน้อยกว่าเบราว์เซอร์ที่ใช้ HTTP