Ticket #20671

ログ - 採取したくない文字列(パスワード)

Eröffnet am: 2010-02-15 11:38 Letztes Update: 2010-02-16 17:23

Auswertung:
Verantwortlicher:
(Keine)
Status:
Offen
Komponente:
Meilenstein:
(Keine)
Priorität:
4
Schweregrad:
5 - Mittel
Lösung:
Keine
Datei:
Keine
Vote
Score: 0
No votes
0.0% (0/0)
0.0% (0/0)

Details

bashなどで"export http_proxy=http://username:password@hostname:port"
のようにパスワードをコマンドラインに打ち込まなければならない状況や、
標準出力に表示しなければならない状況があります。
この出入力されたパスワードはログにそのまま残ってしまいます。
そこでパスワードをログに載せないようにしたいと考えています。

私が考えている載せない方法は以下ですが、可能ならばの機能が欲しいと考えています。

1. ログを編集する

 …ログを編集するのはISMS等の管理面から避けたいですが、やむなし?

2. 記載しないキーワードをあらかじめ指定する

 …判定しつつ書き込むため、スループット悪化?

 …キーワードが複数の場合はさらに悪化

 …あらかじめ指定したキーワードは某ウイルスの餌食

 …操作中にキーワードが増えた場合、対処できず

3. ログ採取終了時に埋めてしまう

 …終了時にダイアログ出現し、キーワード群(改行でキーワード分離)と、

   埋める際の代替文字(*や_など)を入力

 …機能不要の場合、出現しないようにする(デフォルト不要)

 …ファイルタイムスタンプは接続終了時と同値


3でできたファイルがログと言えるかどうかは微妙ですし、
パスワードと同じ文字列があった場合は埋まってしまいます(ユーザ名=パスワードの場合は最悪です)が、
ログを手で編集するよりはマシだと思えます。

Ticket-Verlauf (3/5 Historien)

2010-02-15 11:38 Aktualisiert von: momoch
  • New Ticket "ログ - 採取したくない文字列(パスワード)" created
2010-02-16 00:42 Aktualisiert von: yutakapon
Kommentar

やるとしたら、クリッカブルURLの処理の中で、ログ出力の際に文字列をスキャンして、 書き潰す、とかでしょうか。技術的に難しくはなさそうですが、性能低下は懸念ですね。

本件は、URLに限らず、passwdコマンドでのパスワード入力時なんかも同じ話?

2010-02-16 01:24 Aktualisiert von: None
Kommentar

passwdの場合はechoされないのでは?telnetで110につないでPOP3するときなんかはどうしようもなさそう。

2010-02-16 17:00 Aktualisiert von: momoch
Kommentar

余談ですが、衆目監視の下、認証情報を入力するときは
ログに採る採らないは別にしてパスワードがばれることがありますね。
ここで言う衆目監視というのは作業時のパートナー(2重チェック)や、技術共有会などです。

たしかにPOP3とかはモロバレですね。。

2010-02-16 17:23 Aktualisiert von: yutakapon
Kommentar

IPMItoolで、パスワード指定する場合も、同じ話がありますね。 psで見たときのパスワードは書き潰されるようになっていますが、Tera Termのログには 残ってしまいます。

Dateianhangliste

Keine Anhänge

Bearbeiten

You are not logged in. I you are not logged in, your comment will be treated as an anonymous post. » Anmelden