Dotaz: CRON a GnuPG

[svido]

Dobrý den,
je nějaká možnost udělat, aby se ve skriptu, který spouští CRON dalo použít GnuPG? Pokud přidám možnost šifrování, tak CRON skript vůbec nespustí.

Odpovědi

[Boris]

Cron nemůže skončit "jen tak": máte v /root/dead.letter, a možná i v systémovém mailu, výpisy výstupů příkazů spuštěných cronem. Podívejte se tam a možná najdete chybovou hlášku. Předpokládám, že ruční spuštění skriptu funguje bez problému?

[Michal Kubeček]

Zkuste být méně tajemný a napsat, jak konkrétně vypadal ta položka v cron tabulce a podle čeho jste poznal, že se skript vůbec nespustil.

[svido]

Takže "odtajňuji"...
Napsal jsem si skript, který mi vytvoří s potřebných adresářů (určených na zálohu) tar archivy. Po zabalení, se spustí funkce, která pomocí for a find, zašifruje soubory tar.gz a rovnou je smaže. Ručné spuštění funguje.
Když jsem koukal do sys. mailu tak, tam nic nebylo.
Teď tam byla chyba: gpg: cannot open '/dev/tty': No such device or address. Nevytvoří se ani příslušné archivy.
Jinak výpis z crontable: 0 10 * * * /home/jirka/backup.sh daily
Mohu sem dát i skript, ale předem upozorňuji, že je moje amatérská prasečinka

[Josef Kufner]

To šifrovátko se nejspíš snaží zeptat na heslo kvůli odemčení klíče. Zkus to nastavit tak, aby se to neptalo, když to spustíš normálně a pak to bude fungovat i z cronu.

[svido]

Když to pustím ručně, tak se na heslo ptá. A můžeš mi poradit kde, to mám změnit? V gpg.conf jsem našel jen use-agent a to asi není ono, protože heslo chce stále.

Je to bezpečné - nastavit GPG, tak aby nechtělo heslo pro odemčení klíče?

[Michal Kubeček]

Agent by mohl pomoci, ale musel byste ho vždy po startu systému spustit a heslo zadat jemu. Jinak by nešlo o to, aby gpg nechtěl heslo, ale o to, aby soubor s tajným klíčem nebyl zašifrovaný. Méně bezpečné to samozřejmě je, ale jinak to neinteraktivně spustit nepůjde.

[svido]

Vyřešeno. Zkusil jsem man gpg, což mne nakoplo dobrým směrem a trochu zagooglil...

Výsledek:
gpg -es -u xxx -r xxx --passphrase-fd 0 --batch $FILENAME < key.txt

Není to asi moc bezpečné, ale pokud soubor key.txt nějak ošklivě přejmenuji a někam ho zahrabu, tak je to "přijatelné" řešení. Děkuji

[Josef Kufner]

Zahrabání toho souboru ti nepomůže, protože jeho jméno útočník uvidí ihned. Nastav mu dobře práva, aby to heslo nebyl schopný přečíst dřív, než dostane roota. Víc nemá smysl řešit.

[svido]

No jo vlastně, máš pravdu. Na to já furt zapomínám. Blbý zvyk z widlí - bezpečnost = -200%. Jinak díky.