Скрыть команды в истории Bash

Коротко о механике истории

Bash хранит список выполненных команд в памяти и при завершении сессии записывает их в файл, обычно ~/.bash_history. Ключевые переменные:

HISTFILE — путь к файлу истории (обычно ~/.bash_history). Если переменная не установлена, история не будет записываться в файл.
HISTSIZE — количество строк истории, хранимых в памяти для текущей сессии.
HISTFILESIZE — ограничение на размер (в строках) файла истории.
HISTCONTROL — поведение записи: например, ignorespace игнорирует команды, начинающиеся с пробела; ignoreboth = ignorespace+ignoredups.

Важно: другие механизмы аудита (auditd, syslog, process accounting) и удалённые механизмы логирования не зависят от Bash и продолжают вести учёт команд независимо от настроек истории Bash.

Способы исключить команды из истории

1. Вставьте пробел перед командой

Если в окружении установлено HISTCONTROL=ignorespace или ignoreboth, команды, начинающиеся с пробела, не попадут в историю.

Пример настройки (правильный синтаксис):

export HISTCONTROL=ignorespace
# или
export HISTCONTROL=ignoreboth

Пример выполнения приватной команды (обратите внимание на ведущий пробел):

 echo "this is a top secret"

Пример: команда с ведущим пробелом не сохраняется в истории

Примечание: пробел сработает только если HISTCONTROL настроен соответственно. Проверьте текущую настройку командой echo "$HISTCONTROL".

2. Отключить запись истории для текущей сессии

Если нужно, чтобы текущая сессия вообще не записывала историю в файл, можно запустить подстановочную оболочку с пустым HISTFILE или перенаправлением в /dev/null.

Запуск временной сессии, которая не сохраняет историю в файл:

HISTFILE=/dev/null bash

Или полностью убрать переменную HISTFILE в текущей сессии (после этого история не будет записана в файл при выходе):

unset HISTFILE
# или
export HISTFILE=

Если нужно предотвратить накопление команд в памяти текущей сессии, можно уменьшить HISTSIZE:

export HISTSIZE=0
export HISTFILESIZE=0

Замечание: unset HISTFILE не удаляет уже записанные строки в ~/.bash_history. Чтобы убрать и уже записанные данные — см. раздел очистки ниже.

3. Очистить историю после работы

Если вы выполнили чувствительные действия и хотите удалить следы, используйте корректные команды очистки истории.

Очистить историю текущей сессии (память):

history -c

Перезаписать файл истории пустым набором из текущей (очищённой) истории:

history -c && history -w
# или явно очистить файл:
> ~/.bash_history

Команда history -c && history -w удалит все записи из памяти и затем запишет текущую (пустую) историю в файл, эффективно очищая как память, так и файл.

Важно: если у вас открыты другие сессии Bash, они могут перезаписать файл истории при выходе, поэтому очищение лучше выполнять в конце работы во всех сессиях или использовать блокировки/координацию.

4. Временно отключить журналирование команд

Чтобы временно отключить ведение истории в текущей сессии, используйте:

set +o history
# выполнить приватную работу
set -o history

Если вы хотите, чтобы сами команды set +o history и set -o history не попали в историю, выполните их с ведущим пробелом (при включённом HISTCONTROL=ignorespace). Пример:

 export HISTCONTROL=ignorespace
 set +o history   # выполните с ведущим пробелом, чтобы команда не сохранилась
 <ваша работа>
 set -o history

5. Удалить конкретные команды из истории

Найдите нужную запись по части команды и удалите её по номеру.

Поиск по истории:

history | grep "часть команды"

Удаление конкретной записи (замените N на номер команды из вывода history):

history -d N
# затем запишите изменения в файл
history -w

Альтернатива — отредактировать файл ~/.bash_history вручную, но это рискованно при одновременных сессиях.

Пример: удаление определённой записи из истории команд

Примечание: простое нажатие Ctrl+U на восстановленной из истории строке очистит строку в терминале, но не удаляет соответствующую запись в файле истории — чтобы удалить запись, используйте history -d.

Альтернативные подходы и практики

Запуск изолированной оболочки: HISTFILE=/dev/null bash — быстрый способ получить сессию, не записывающую историю.
Использование временной учётной записи или контейнера при выполнении рискованных команд. Это изолирует следы и файлы.
Использование менеджера секретов (vault, AWS Secrets Manager) для хранения токенов и паролей. Не передавайте секреты как аргументы команд.
Если нужно часто выполнять «инкогнито»-команды, заведите отдельный профиль оболочки или алиасы, которые автоматически подставляют HISTFILE=/dev/null.

Контрпримеры и ситуации, когда приёмы не сработают

Системный аудит (auditd), process accounting и журналы sudo логируют команды независимо от Bash. Отключение истории Bash не удалит эти записи.
Если у вас есть право root, история может быть восстановлена или просмотрена в момент иными способами — полная анонимность не гарантируется.
Одновременные сессии: если другая сессия записала историю после вашей очистки, файл может быть перезаписан.
Если HISTCONTROL не настроен, ведущий пробел ничего не даст.

Мини‑методология: безопасная сессия для выполнения конфиденциальных команд

Подготовьте: закройте другие интерактивные сессии или предупредите коллег.
Запустите изолированную оболочку: HISTFILE=/dev/null bash.
Выполните нужные команды. Не вводите секреты в аргументах команд; используйте read -s или менеджер секретов.
Завершите сессию командой exit.
Проверьте, что ~/.bash_history не изменился.

Роль‑ориентированные чек‑листы

Администратор:

Использовать auditd для аудита критичных команд.
Не полагаться только на отключение истории Bash для безопасности.
Коммуницировать политику логирования с командой.

Разработчик/инженер:

Запустить HISTFILE=/dev/null bash для временных тестов с секретами.
Перенести секреты в менеджер секретов.
Проверять переменные окружения HISTCONTROL, HISTSIZE, HISTFILE.

Аудитор/инспектор безопасности:

Проверять системные журналы (auditd, sudo, journald) в дополнение к истории Bash.
Контролировать доступ к домашним каталогам и файлам истории.

Критерии приёмки

После выполнения приватной сессии в HISTFILE=/dev/null bash проверка tail ~/.bash_history не показывает выполненных команд.
После history -c && history -w история в файле и память пусты.
При удалении конкретной записи history -d N вывод history | grep "часть команды" не показывает удалённой строки.

Безопасность и конфиденциальность

Отключение истории в Bash облегчает сокрытие команд только на уровне оболочки. Это не защищает от:

системного аудита и мониторинга;
перехвата команд оболочки на уровне терминала или терминального мультиплексора (tmux, screen), если включено логирование;
доступа администратора к файловой системе и журналам.

Рекомендации:

Никогда не передавайте пароли и токены как аргументы командной строки.
Используйте менеджеры секретов и API для временных ключей.
Шифруйте домашний каталог, если в нём может храниться чувствительная история.
Настройте централизованный и контролируемый аудит для критичных систем.

Короткий словарь

HISTFILE: путь к файлу истории Bash.
HISTSIZE: число команд, хранимых в памяти сессии.
HISTCONTROL: стратегия фильтрации команд (ignorespace, ignoredups).
history -c: очистить историю в памяти.
history -w: записать историю в файл (перезаписать ~/.bash_history).

Итог

Bash предоставляет гибкие механизмы управления историей команд: от простого ведущего пробела до запуска изолированной сессии с HISTFILE=/dev/null и ручной очистки через history -c && history -w. Для реальной безопасности комбинируйте эти приёмы с менеджерами секретов, изоляцией сессий и системным аудитом. Помните, что отключение истории Bash не скрывает действия от системных и сетевых логов.

Важно: перед массовым применением автоматических очисток истории согласуйте это с политиками компании и службой безопасности.