Almacenar secretos para scripts desatendidos: credenciales de systemd, DPAPI, llavero de macOS y qué no hacer

Objetivo

Entregar a un script o servicio desatendido el secreto que necesita en tiempo de ejecución, sin exponerlo en el entorno de otros procesos, en un listado de procesos ni en un archivo legible por todos.

Requisitos previos

systemd 247 o superior para LoadCredential=, y 250 o superior para systemd-creds y LoadCredentialEncrypted= (el cifrado usa una clave derivada de TPM2, la clave del host /var/lib/systemd/credential.secret, o ambas, de modo que no se requiere estrictamente un TPM); PowerShell 5.1 o superior para Export-Clixml, o el módulo Microsoft.PowerShell.SecretManagement si se quiere una abstracción más completa de almacén de secretos; macOS con la herramienta de línea de comandos security (incluida de serie).

Pasos

1. Linux/systemd: como root, ejecute systemd-creds encrypt --name=mysecret plaintext.txt /path/mysecret.cred, elimine plaintext.txt y haga referencia al archivo cifrado en [Service] con LoadCredentialEncrypted=mysecret:/path/mysecret.cred. El nombre incrustado debe coincidir con el identificador de la credencial; si se omite --name=, se toma del nombre del archivo de salida. El servicio lee el valor descifrado en $CREDENTIALS_DIRECTORY/mysecret, una copia de solo lectura accesible únicamente para el servicio (funciona con DynamicUser=), en lugar de una variable de entorno heredada por todos los procesos hijo.
2. Windows: Get-Credential | Export-Clixml -Path secret.xml serializa un objeto de credenciales. La documentación de Microsoft señala que esto se basa en la API de protección de datos de Windows (DPAPI), por lo que el archivo resultante solo puede descifrarlo la misma cuenta de usuario en el mismo equipo que lo creó; si se copia a otro host o a otro usuario, queda inutilizable. Por ello, créelo ejecutándose con la cuenta que lo va a leer. Esto solo es válido en Windows: PowerShell en Linux/macOS escribe la contraseña simplemente codificada, no cifrada. Import-Clixml -Path secret.xml lo vuelve a leer dentro del script. Para secretos con nombre, Microsoft.PowerShell.SecretManagement necesita una extensión de almacén como Microsoft.PowerShell.SecretStore, que por defecto solicita una contraseña salvo que se reconfigure su autenticación.
3. macOS: guarde el secreto una sola vez con security add-generic-password -a "myservice" -s "myservice-token" -T /usr/bin/security -w; al poner -w al final y sin valor, la herramienta lo solicita de forma interactiva, con lo que el secreto no queda en ps ni en el historial del shell. Un script lo recupera con security find-generic-password -a "myservice" -s "myservice-token" -w, que imprime solo el valor. El llavero debe estar desbloqueado, y el llavero de inicio de sesión del usuario a menudo no lo está en sesiones SSH ni para LaunchDaemons; además, una herramienta que no figure en la lista de acceso del elemento (-T) provoca un aviso en la interfaz gráfica.
4. En los tres casos, restrinja el archivo o el almacén de credenciales a la cuenta propia del servicio (en Linux: apóyese en el directorio por servicio de LoadCredential= en lugar de una ruta compartida; un archivo creado a mano debería llevar igualmente chmod 0600).

Resultado esperado

El secreto puede leerlo en tiempo de ejecución la cuenta de servicio prevista y ninguna otra; al inspeccionar el proceso en ejecución con ps o /proc/<pid>/environ y métodos similares no aparece ningún secreto en texto plano, y terminar y reiniciar el proceso no obliga a volver a introducirlo manualmente.

Límites y base de verificación

Ninguno de estos mecanismos impide que un proceso con los mismos privilegios que el propio servicio, o un usuario que pueda usar sudo/Run as Administrator, lea el texto plano una vez descifrado. Lo que sí evitan es poner un secreto en una variable de entorno (visible para todos los procesos hijo y a menudo registrada en logs), en un argumento de línea de comandos (visible en ps, en el Administrador de tareas y en el historial del shell) o en un archivo normal con permisos por defecto.