Vermeiden von Klartextkennwörtern in http_proxy

Ich stehe hinter einer Unternehmensfirewall, die im Bereich der Proxys viele Probleme mit sich bringt. Es gibt zwei Hauptansätze, die ich gefunden habe, um zu funktionieren:

1. Verwenden Sie Cntlm auf Kosten der Tatsache, dass keine Verbindung (über die Befehlszeile) zu HTTPS und externen SSH-Standorten hergestellt werden kann. (Mit Cntlm können Sie Ihren Benutzernamen und Ihr Kennwort mit PassNTLMv2 hashen (wodurch Klartext vermieden wird) und http://localhost:3128/als Proxy festlegen, der dann zu Ihrem "echten" Proxy umleitet. Wie bereits erwähnt, kann ich mit dieser Methode keine Verbindung zu HTTPS und externem SSH herstellen.)
2. Geben Sie meinen Benutzernamen und mein Passwort im Klartext in die http_proxyVariable ein, auf Kosten meines Benutzernamens und Passworts im Klartext.

Wenn Sicherheit kein Problem wäre, würde ich natürlich nur Option 2 verwenden.

Ich fand eine Lösung, indem ich dies in meinem .babrunrc(ich benutze Babun, es ist im Grunde Cygwin mit einem kleinen Extra, das gleiche könnte in einem .bashrcoder .zshrcobwohl sein).

export http_proxy="http://`echo "Y21hbjpwYXNzd29yZA==" | base64 -d`@20.20.20.20:20/"

Auf diese Weise wird mein Passwort zumindest verschlüsselt. Wenn jemand an meinen Computer kam und tippte echo $http_proxy, sah er mein Passwort, aber ich glaube, daran führt kein Weg vorbei.

Gibt es dafür alternative Ansätze? Oder vielleicht eine Möglichkeit, die Zeichenfolge zu verschlüsseln, anstatt sie zu verschlüsseln? Es würde mir nichts ausmachen, ein Passwort einzugeben, wenn ich eine Eingabeaufforderung öffne, wenn es keinen Weg daran vorbei gibt.

Die Verwendung von base64 ist nutzlos, es ist nur eine einfache Transformation. Die Verwendung der Verschlüsselung mit einem Schlüssel, der neben den verschlüsselten Daten gespeichert ist, ist ebenfalls nutzlos, da es sich nur um eine einfache Umwandlung handelt. Wenn Sie befürchten, dass jemand Zugriff auf Ihre Konfigurationsdateien erhält, müssen Sie mit einem Schlüssel verschlüsseln, der nicht in Ihren Konfigurationsdateien enthalten ist. Dies bedeutet, dass Sie beim Anmelden ein Kennwort¹ eingeben müssen.

Verwenden Sie einen vorhandenen Verschlüsselungsmechanismus, anstatt Ihren eigenen zu erstellen.

Wenn Sie unter Linux mit Dateiverschlüsselung arbeiten, verschlüsseln Sie Ihr Home-Verzeichnis mit eCryptfs oder verschlüsseln Sie die gesamte Festplatte mit der Linux-Festplattenverschlüsselungsschicht (dm-crypt, cryptsetupBefehl) oder erstellen Sie ein kleines, pro Datei verschlüsseltes Dateisystem mit encfs . Im letzteren Fall sollten Sie ein Skript haben, das das encfs-Dateisystem bereitstellt und dann ein dort gespeichertes Skript ausführt.

Legen Sie die Datei unter Windows auf einem TrueCrypt / VeraCrypt ab .

Alternativ können Sie einen Passwort-Manager verwenden (natürlich ein Master-Passwort festlegen). Der Gnome-Passwort-Manager (Gnome-Schlüsselring) kann mit dem secret-toolDienstprogramm über die Befehlszeile abgefragt werden . Seahorse bietet eine praktische Benutzeroberfläche zum Erkunden und Ändern des Schlüsselbunds und zum Festlegen eines Hauptkennworts.

secret-tool store --label='Corporate web proxy password' purpose http_proxy location work.example.com

export http_proxy="http://cman:$(secret-tool lookup purpose http_proxy location work.example.com)@192.0.2.3/"

Dies erforderte D-Bus, der normalerweise standardmäßig unter Linux verfügbar ist (die meisten modernen Desktop-Umgebungen erfordern dies), aber unter Cygwin manuell gestartet werden muss (ich weiß nicht genau, wie).

¹ _{oder anderweitig geheimes Material liefern, z. B. auf einer Smartcard gespeichert.}

Ich habe eine Lösung gefunden: Hinzufügen openssl enc -aes-128-cbc -a -dzu der Mischung. Wie in der akzeptierten Antwort erwähnt , ist diese Option jedoch wahrscheinlich nicht sehr sicher.

Geben Sie hier zunächst die Kennwortkombination für den Benutzernamen (oder das Base64-codierte Äquivalent) ein.

echo "<put it here>" | openssl enc -aes-128-cbc -a

Es wird zweimal nach einem Passwort gefragt. Dieses Passwort ist das Passwort, das Sie bei jeder http_proxyEinstellung eingeben müssen .

Dann, in .babunrc(oder wo immer Sie es setzen),

export http_proxy="http://`echo "<output from above command>" | openssl enc -aes-128-cbc -a -d`@20.20.20.20:20/"

Wenn die Eingabe base64-codiert war, benötigen Sie stattdessen Folgendes:

export http_proxy="http://`echo "<output from above command>" | openssl enc -aes-128-cbc -a -d | base64 -d`@20.20.20.20:20/"

Wenn das <output from above command>eine neue Leitung hatte, \nwird es funktionieren.