markdown

はじめに (対象読者・この記事でわかること)

本記事は、Unix系環境でCシェル（CSH）を利用しているシステム管理者や開発者、あるいはシェルスクリプトの保護に関心のあるエンジニアを対象としています。
CSH スクリプトはテキスト形式のままだと内容が簡単に読めてしまうため、機密情報やロジックを第三者に見られないようにしたい場面があります。本記事を読むことで、以下のことが理解・実践できるようになります。

  • CSH スクリプトを OpenSSL などのツールで暗号化し、ファイルサイズや実行速度への影響を把握できる
  • 暗号化されたスクリプトを安全に復号し、実行できるラッパースクリプトの書き方
  • 暗号化と復号のプロセスで陥りやすいエラーとその対処法

この記事は、シェルスクリプトの保護手段が不足していると感じた経験と、既存の暗号化ツールを組み合わせて手軽に実装できる方法を共有したいという思いから執筆しました。

前提知識

この記事を読み進める上で、以下の知識があるとスムーズです。

  • Unix/Linux の基本的なコマンド操作（ls、cat、chmod など）
  • Cシェル（CSH）の基礎的な文法と実行方法
  • OpenSSL または GnuPG など、コマンドラインで暗号化・復号ができるツールの使用経験

Cシェルスクリプト暗号化の概要と背景

Cシェルは、C 言語風の構文を特徴とするシェルで、特に歴史的に Solaris 系や一部の BSD 系で利用されています。テキストファイルとして保存されるため、内部にパスワードやサーバーの接続情報、内部アルゴリズムがそのまま露出します。
情報漏洩リスクを最小化するために、スクリプト自体を暗号化し、実行時に復号してロードする手法が有効です。代表的な暗号化手段としては、対称鍵暗号（AES）を利用した OpenSSL 暗号化、もしくは公開鍵暗号（PGP）による暗号化があります。

本セクションでは、暗号化方式の比較と、Cシェル特有の制約（標準入出力の取り扱いや exec 系コマンドの挙動）に合わせた実装ポイントを解説します。

暗号化方式の比較

方式 アルゴリズム例 鍵管理 実装の容易さ 復号コマンド
OpenSSL (対称) AES-256-CBC パスフレーズまたはファイル ★★★★☆ openssl enc -d -aes-256-cbc
GPG (非対称) RSA + AES 公開鍵/秘密鍵 ★★★☆☆ gpg -d
shc (バイナリ化) 省略 (内部暗号) 秘密鍵は埋め込み不可 ★★☆☆☆ 自動復号

対称暗号は鍵の配布が簡単で高速ですが、鍵漏洩時のリスクが高い点に注意が必要です。一方、非対称暗号は鍵管理が複雑になるものの、公開鍵だけを配布できるため安全性が向上します。shc は CSH 用のコンパイラで、スクリプトをバイナリ化しますが、復号が内部で行われるためデバッグが難しいという欠点があります。

Cシェルの制約と解決策

  • 標準入出力のリダイレクト
    暗号化されたスクリプトはバイナリデータになるため、source で直接読み込むことができません。代わりに、復号結果を一時ファイルに書き込み、source で実行します。

  • 一時ファイルのセキュリティ
    復号後の平文が残ると逆にリスクになるため、mktemp で安全な一時ファイルを生成し、実行後に即座に削除します。

  • 実行権限の付与
    復号したスクリプトは実行権限が必要です。chmod +x を自動で行うラッパーを用意します。

実践！ Cシェルスクリプト暗号化と安全な実行フロー

以下では、OpenSSL の対称暗号（AES-256-CBC）を使って CSH スクリプトを暗号化し、復号・実行までを自動化する手順を具体的に示します。コード例はすべてベストプラクティスに従い、エラーハンドリングや一時ファイルの削除まで網羅しています。

ステップ1：暗号化対象スクリプトの作成

まずは簡単な CSH スクリプト secret.csh を用意します。内容はパスワードを出力するだけのサンプルです。

Csh

#!/bin/csh
# secret.csh - 暗号化前のスクリプト
set password = "S3cr3tP@ssw0rd"
echo "暗号化されたスクリプトから取得したパスワード: $password"

このファイルに実行権限を付与します。

Sh

chmod +x secret.csh

ステップ2：OpenSSL で暗号化

次に、上記スクリプトを AES-256-CBC で暗号化します。パスフレーズは対話形式で入力させますが、スクリプト化する場合は環境変数やファイルで管理します。

Sh

openssl enc -aes-256-cbc -salt -in secret.csh -out secret.csh.enc

実行すると Enter encryption password: と Verifying - Enter encryption password: が表示されます。ここで設定したパスフレーズが暗号化鍵となります。

ステップ3：復号・実行用ラッパースクリプト作成

暗号化されたファイル secret.csh.enc を安全に復号し、即座に実行するラッパー run_enc.csh を作成します。

Csh

#!/bin/csh
# run_enc.csh - 暗号化スクリプトの復号・実行ラッパー

# 1. 復号に使用するパスフレーズを取得
#    環境変数 ENC_PASS から取得する例（対話入力は非推奨）
if (! $?ENC_PASS) then
    echo "環境変数 ENC_PASS が設定されていません。"
    exit 1
endif

# 2. 安全な一時ファイルを作成
set temp_file = `mktemp /tmp/encscript.XXXXXX`

# 3. 復号処理
openssl enc -d -aes-256-cbc -in secret.csh.enc -out $temp_file -pass env:ENC_PASS
if ($status != 0) then
    echo "復号に失敗しました。"
    rm -f $temp_file
    exit 1
endif

# 4. 実行権限付与
chmod +x $temp_file

# 5. 復号したスクリプトを source で実行
source $temp_file

# 6. 復号後の一時ファイルを削除（重要） 
rm -f $temp_file

ラッパーのポイント解説

  • パスフレーズの管理
    ENC_PASS 環境変数に平文で保持させるのは開発段階だけに留め、本番環境では ssh-agent や keyring と連携させるのが望ましいです。

  • mktemp の使用
    mktemp は安全な一意ファイル名を生成し、他プロセスからの予測が困難です。シェル変数に格納し、全工程で使用します。

  • エラーハンドリング
    openssl の復号が失敗した場合は即座に一時ファイルを削除し、スクリプトを終了します。$status は直前コマンドの終了ステータスです。

  • source で実行
    CSH の source（または .）はファイルの内容を現在のシェル環境で実行します。これにより、復号したスクリプト内の変数や関数が呼び出し元に引き継がれます。

ステップ4：実行テスト

環境変数にパスフレーズを設定し、ラッパーを実行します。

Sh

setenv ENC_PASS "MyStrongPassphrase"
chmod +x run_enc.csh
./run_enc.csh

期待される出力は次の通りです。

暗号化されたスクリプトから取得したパスワード: S3cr3tP@ssw0rd

復号後の一時ファイルはスクリプト終了時に削除されていることを ls /tmp/encscript.* で確認してください。

ハマった点やエラー解決

1. 復号後のファイルが実行できない（Permission denied）

  • 原因：chmod +x が適用されていなかった。
  • 解決策：chmod +x $temp_file を必ず実行し、$temp_file のパスが正しいか確認。

2. openssl enc -d が「bad decrypt」エラーになる

  • 原因：パスフレーズが一致していない、または -salt オプションの有無が暗号化時と異なる。
  • 解決策：暗号化コマンドと復号コマンドのオプション（-salt、-pbkdf2）を完全に合わせ、パスフレーズが正しいか環境変数で再確認。

3. mktemp が「No such file or directory」になる

  • 原因：/tmp ディレクトリのパーミッションが不足している、またはシステムが mktemp をサポートしていない。
  • 解決策：代替として set temp_file = "${TMPDIR:-/tmp}/encscript.$$" のように手動で一意ファイル名を生成し、適切なディレクトリへ書き込み権限を付与。

さらに高度な活用法

  • 鍵ファイルによる自動化
    パスフレーズの代わりに鍵ファイル (-pass file:mykey.bin) を使用し、CI/CD パイプラインでの自動デプロイに応用できます。鍵ファイルは chmod 600 で保護し、Vault 等に保存するのが安全です。

  • 複数スクリプトの一括暗号化
    find と xargs を組み合わせて、プロジェクトディレクトリ内の全 CSH スクリプトを一括で暗号化し、対応するラッパーを自動生成するシェル関数を作れます。

  • GPG との組み合わせ
    非対称暗号が必要な場合は、gpg --encrypt で暗号化し、復号時は gpg --decrypt をラッパーに組み込むことが可能です。公開鍵だけを配布すれば、秘密鍵が漏洩しない限り安全です。

まとめ

本記事では、Cシェル（CSH）スクリプトを OpenSSL の AES-256-CBC で暗号化し、安全な一時ファイルと環境変数による鍵管理 を組み合わせた復号・実行フローを解説しました。

  • 暗号化方式の比較と選定基準 を提示し、対称暗号の高速性と非対称暗号の安全性を整理
  • 実装上の制約（標準入出力、復号後の一時ファイル管理）を克服する具体的手順をコード例で示す
  • ハマりポイントとその対処法（パスフレーズ不一致、権限問題）を実例と共に提供

この手法を取り入れることで、機密情報を含むシェルスクリプトの漏洩リスクを大幅に低減し、運用上のセキュリティポリシー遵守が容易になります。今後は、鍵管理サービス（HashiCorp Vault 等）と連携した自動化 や、複数スクリプトの一括暗号化 といった発展的トピックについても記事化予定です。

参考資料