任务单 #20671

ログ - 採取したくない文字列(パスワード)

开放日期: 2010-02-15 11:38 最后更新: 2010-02-16 17:23

报告人:
属主:
(无)
状态:
开启
组件:
里程碑:
(无)
优先:
4
严重性:
5 - Medium
处理结果:
文件:
Vote
Score: 0
No votes
0.0% (0/0)
0.0% (0/0)

Details

bashなどで"export http_proxy=http://username:password@hostname:port"
のようにパスワードをコマンドラインに打ち込まなければならない状況や、
標準出力に表示しなければならない状況があります。
この出入力されたパスワードはログにそのまま残ってしまいます。
そこでパスワードをログに載せないようにしたいと考えています。

私が考えている載せない方法は以下ですが、可能ならばの機能が欲しいと考えています。

1. ログを編集する

 …ログを編集するのはISMS等の管理面から避けたいですが、やむなし?

2. 記載しないキーワードをあらかじめ指定する

 …判定しつつ書き込むため、スループット悪化?

 …キーワードが複数の場合はさらに悪化

 …あらかじめ指定したキーワードは某ウイルスの餌食

 …操作中にキーワードが増えた場合、対処できず

3. ログ採取終了時に埋めてしまう

 …終了時にダイアログ出現し、キーワード群(改行でキーワード分離)と、

   埋める際の代替文字(*や_など)を入力

 …機能不要の場合、出現しないようにする(デフォルト不要)

 …ファイルタイムスタンプは接続終了時と同値


3でできたファイルがログと言えるかどうかは微妙ですし、
パスワードと同じ文字列があった場合は埋まってしまいます(ユーザ名=パスワードの場合は最悪です)が、
ログを手で編集するよりはマシだと思えます。

任务单历史 (3/5 Histories)

2010-02-15 11:38 Updated by: momoch
  • New Ticket "ログ - 採取したくない文字列(パスワード)" created
2010-02-16 00:42 Updated by: (del#24082)
评论

やるとしたら、クリッカブルURLの処理の中で、ログ出力の際に文字列をスキャンして、 書き潰す、とかでしょうか。技術的に難しくはなさそうですが、性能低下は懸念ですね。

本件は、URLに限らず、passwdコマンドでのパスワード入力時なんかも同じ話?

2010-02-16 01:24 Updated by: None
评论

passwdの場合はechoされないのでは?telnetで110につないでPOP3するときなんかはどうしようもなさそう。

2010-02-16 17:00 Updated by: momoch
评论

余談ですが、衆目監視の下、認証情報を入力するときは
ログに採る採らないは別にしてパスワードがばれることがありますね。
ここで言う衆目監視というのは作業時のパートナー(2重チェック)や、技術共有会などです。

たしかにPOP3とかはモロバレですね。。

2010-02-16 17:23 Updated by: (del#24082)
评论

IPMItoolで、パスワード指定する場合も、同じ話がありますね。 psで見たときのパスワードは書き潰されるようになっていますが、Tera Termのログには 残ってしまいます。

Attachment File List

No attachments

编辑

You are not logged in. I you are not logged in, your comment will be treated as an anonymous post. » 登录名