Bash và Security – Bảo Mật Script trong DevOps

Trong DevOps, script Bash chạy tự động khắp nơi – từ pipeline đến server – nhưng nếu không bảo mật, chúng có thể trở thành lỗ hổng lớn. Bash và Security trong DevOps tập trung vào bảo mật script Bash, quản lý secret Bash, và kiểm tra an toàn Bash để tránh rủi ro như lộ secret hay chạy lệnh nguy hiểm. Trong bài thứ mười chín của series Bash Script Chuyên Sâu cho DevOps, tôi sẽ dẫn bạn qua cách bảo vệ script, kèm thực hành thực tế. Đây là kinh nghiệm tôi rút ra từ những lần suýt “toang” vì quên bảo mật, không chỉ là lý thuyết đâu nhé!

Tại Sao Bảo Mật Script Bash?

Rủi Ro trong Bash

Script Bash dễ bị tấn công nếu:

• Hardcode secret (VD: API key).
• Chạy lệnh không kiểm soát đầu vào.
• Quyền thực thi không rõ ràng.

Ví dụ: Script SSH với password trong code – ai đọc được là truy cập server ngay.

Lợi Ích trong DevOps

• An toàn: Bảo vệ dữ liệu nhạy cảm.
• Ổn định: Ngăn script bị lợi dụng.
• Tuân thủ: Đáp ứng yêu cầu bảo mật (VD: SOC 2).

Thực tế: Tôi từng để lộ AWS key trong script, may mà phát hiện kịp – giờ luôn dùng biến môi trường.

Công Cụ Bảo Mật trong Bash

Quản Lý Secret Bash

1. Biến môi trường (bài 7):

   export AWS_KEY="xxx"
   echo "$AWS_KEY"  # Không hardcode

2. File .env:

   • Tạo .env:

     AWS_KEY=xxx
     AWS_SECRET=yyy

   • Load:

     source .env

3. Vault hoặc CI variables:

   variables:
    AWS_KEY: $AWS_KEY  # Từ GitLab CI

Kiểm Tra An Toàn Bash

1. Tránh eval:

   • Không an toàn:

     eval "rm -rf $INPUT"  # $INPUT có thể là "/"

   • An toàn:

     if [ "$INPUT" = "safe" ]; then rm -rf "$INPUT"; fi

2. Kiểm tra đầu vào:

   if [[ ! $1 =~ ^[a-zA-Z0-9]+$ ]]; then
      echo "Đầu vào không hợp lệ" >&2
      exit 1
   fi

3. Quyền file:

   chmod 700 script.sh  # Chỉ owner chạy

Debug An Toàn

• Không in secret:

  set -x
  echo "Debug"  # Tránh echo $AWS_KEY

Thực Hành: Script An Toàn với Secret

Script Bảo Mật

Tạo secure_check.sh:

#!/bin/bash

set -e
trap 'echo "Lỗi tại dòng $LINENO" >&2; exit 1' ERR

# Biến
LOG_FILE="/var/log/secure_check.log"
TIMESTAMP=$(date "+%Y-%m-%d %H:%M:%S")
AWS_REGION=${AWS_REGION:-"us-east-1"}

# Load secret từ file hoặc biến môi trường
if [ -f ".env" ]; then
    source .env
fi
[ -z "$AWS_KEY" ] || [ -z "$AWS_SECRET" ] && {
    echo "Thiếu AWS_KEY hoặc AWS_SECRET" >&2
    exit 1
}

# Hàm ghi log
log() {
    echo "[$TIMESTAMP] $1" >> "$LOG_FILE" 2>/dev/null || {
        echo "Không thể ghi log" >&2
        exit 1
    }
}

# Hàm kiểm tra EC2 (dùng AWS CLI - bài 18)
check_ec2() {
    local INSTANCE="$1"
    if [[ ! $INSTANCE =~ ^i-[a-zA-Z0-9]+$ ]]; then
        log "ID instance không hợp lệ: $INSTANCE"
        exit 1
    fi
    local STATUS=$(AWS_ACCESS_KEY_ID="$AWS_KEY" AWS_SECRET_ACCESS_KEY="$AWS_SECRET" \
        aws ec2 describe-instances --region "$AWS_REGION" --instance-ids "$INSTANCE" | jq -r '.Reservations[].Instances[].State.Name' 2>/dev/null)
    if [ -z "$STATUS" ]; then
        log "Lỗi: Không kiểm tra được $INSTANCE"
    elif [ "$STATUS" = "running" ]; then
        log "Instance $INSTANCE đang chạy"
    else
        log "Instance $INSTANCE đang $STATUS"
    fi
}

# Kiểm tra đầu vào
[ $# -ne 1 ] && {
    echo "Cần 1 tham số: instance ID" >&2
    exit 1
}
check_ec2 "$1"

echo "Kiểm tra an toàn hoàn tất, xem log tại $LOG_FILE"

Chuẩn Bị và Chạy

1. Cài đặt:

   • Cài AWS CLI và jq (bài 18).
   • Tạo .env:

     AWS_KEY=your_access_key
     AWS_SECRET=your_secret_key

   • chmod 600 .env.

2. Chạy script:

   chmod 700 secure_check.sh
   ./secure_check.sh i-1234567890abcdef0

   • Kết quả mẫu:

     Kiểm tra an toàn hoàn tất, xem log tại /var/log/secure_check.log

   • Log:

     [2025-03-13 10:00:00] Instance i-1234567890abcdef0 đang chạy

3. Test lỗi:

   • Chạy sai ID:

     ./secure_check.sh "invalid"

     • Log:

       [2025-03-13 10:01:00] ID instance không hợp lệ: invalid

Giải thích:

• source .env: Load secret an toàn.
• =~: Kiểm tra đầu vào bằng regex.
• chmod 700: Giới hạn quyền.

DevOps: Script này an toàn cho pipeline hoặc cron, không lộ secret.

Debug Bảo Mật

• Thêm debug:

  log "Debug: Checking $INSTANCE"

• Tránh lộ secret:

  bash -x secure_check.sh 2>&1 | grep -v "AWS_"

Thực tế: Tôi từng hardcode key trong script, bị leak trong log – dùng .env và kiểm tra đầu vào cứu tôi.

Ứng Dụng trong DevOps

Pipeline CI/CD

• Dùng biến CI:

  check_ec2:
  script:
    - bash secure_check.sh "$INSTANCE_ID"
  variables:
    AWS_KEY: $AWS_KEY
    AWS_SECRET: $AWS_SECRET

Giám Sát Hệ Thống

• Cron job an toàn:

  0 * * * * AWS_REGION=us-west-2 /path/to/secure_check.sh i-1234567890abcdef0

Case study: Một team thêm kiểm tra regex vào script SSH, ngăn tấn công injection – tăng bảo mật 90%.

Best Practice

• Không hardcode secret.
• Kiểm tra đầu vào chặt chẽ.
• Giới hạn quyền file (700).

Kết Luận

Bash và Security trong DevOps với bảo mật script Bash là bước quan trọng để quản lý secret Bash và kiểm tra an toàn Bash. Thực hành với secure_check.sh cho thấy bạn có thể xây dựng script an toàn – kỹ năng cần thiết trong DevOps. Bài cuối, chúng ta sẽ khám phá Best Practice Tổng Hợp trong Bash – tổng kết series như pro.