【bat】バッチファイルでファイル暗号化・復号を自動化する方法｜certutil・OpenSSL・PowerShell完全ガイド

@echo off
setlocal

set "INPUT=%~1"
set "OUTPUT=%~dpn1.b64"

if not exist "%INPUT%" (
    echo [ERROR] ファイルが見つかりません: %INPUT%
    exit /b 1
)

certutil -encode "%INPUT%" "%OUTPUT%"
if errorlevel 1 (
    echo [ERROR] エンコードに失敗しました。
    exit /b 1
)

echo [OK] エンコード完了: %OUTPUT%
endlocal

@echo off
setlocal

set "INPUT=%~1"
set "OUTPUT=%~dpn1.bin"

if not exist "%INPUT%" (
    echo [ERROR] ファイルが見つかりません: %INPUT%
    exit /b 1
)

certutil -decode "%INPUT%" "%OUTPUT%"
if errorlevel 1 (
    echo [ERROR] デコードに失敗しました。
    exit /b 1
)

echo [OK] デコード完了: %OUTPUT%
endlocal

@echo off
setlocal

set "TARGET=%~1"
set "HASHFILE=%~dpn1.sha256"

if not exist "%TARGET%" (
    echo [ERROR] ファイルが見つかりません: %TARGET%
    exit /b 1
)

:: SHA256ハッシュを生成してファイルに保存
certutil -hashfile "%TARGET%" SHA256 > "%HASHFILE%"
if errorlevel 1 (
    echo [ERROR] ハッシュ生成に失敗しました。
    exit /b 1
)

echo [OK] ハッシュ値を保存しました: %HASHFILE%
type "%HASHFILE%"
endlocal

@echo off
setlocal enabledelayedexpansion

set "TARGET=%~1"
set "EXPECTED_HASH=%~2"

:: 現在のハッシュを取得（2行目がハッシュ値）
set "TMPFILE=%TEMP%\hash_check.tmp"
certutil -hashfile "%TARGET%" SHA256 > "%TMPFILE%"

set "LINE=0"
set "ACTUAL_HASH="
for /f "usebackq skip=1 delims=" %%A in ("%TMPFILE%") do (
    set /a LINE+=1
    if !LINE! == 1 set "ACTUAL_HASH=%%A"
)
del "%TMPFILE%"

:: 空白を除去して比較
set "ACTUAL_HASH=!ACTUAL_HASH: =!"
set "EXPECTED_HASH=!EXPECTED_HASH: =!"

if /i "!ACTUAL_HASH!" == "!EXPECTED_HASH!" (
    echo [OK] ハッシュ一致：ファイルは改ざんされていません。
    exit /b 0
) else (
    echo [ERROR] ハッシュ不一致：ファイルが変更されている可能性があります。
    echo   期待値: !EXPECTED_HASH!
    echo   実際値: !ACTUAL_HASH!
    exit /b 1
)
endlocal

@echo off
setlocal

set "INPUT=%~1"
set "OUTPUT=%~1.enc"
set "PASSFILE=%~dp0pass.key"

if not exist "%INPUT%" (
    echo [ERROR] ファイルが見つかりません: %INPUT%
    exit /b 1
)
if not exist "%PASSFILE%" (
    echo [ERROR] パスワードファイルが見つかりません: %PASSFILE%
    exit /b 1
)

:: -pbkdf2 で安全な鍵導出、-iter で反復回数を指定
openssl enc -aes-256-cbc -salt -pbkdf2 -iter 100000 ^
    -in "%INPUT%" ^
    -out "%OUTPUT%" ^
    -pass file:"%PASSFILE%"

if errorlevel 1 (
    echo [ERROR] 暗号化に失敗しました。
    exit /b 1
)

echo [OK] 暗号化完了: %OUTPUT%
endlocal

@echo off
setlocal

set "INPUT=%~1"
set "OUTPUT=%~dpn1.dec"
set "PASSFILE=%~dp0pass.key"

if not exist "%INPUT%" (
    echo [ERROR] ファイルが見つかりません: %INPUT%
    exit /b 1
)
if not exist "%PASSFILE%" (
    echo [ERROR] パスワードファイルが見つかりません: %PASSFILE%
    exit /b 1
)

openssl enc -aes-256-cbc -d -pbkdf2 -iter 100000 ^
    -in "%INPUT%" ^
    -out "%OUTPUT%" ^
    -pass file:"%PASSFILE%"

if errorlevel 1 (
    echo [ERROR] 復号に失敗しました。パスワードが間違っている可能性があります。
    exit /b 1
)

echo [OK] 復号完了: %OUTPUT%
endlocal

:: ランダムなパスワードをOpenSSLで生成してファイルに保存
openssl rand -base64 32 > pass.key

:: ファイルのアクセス権を現在のユーザーのみに制限
icacls pass.key /inheritance:r /grant:r "%USERNAME%:R"

# 暗号化したいパスワードをSecureStringに変換して保存
Read-Host -Prompt "暗号化するパスワードを入力" -AsSecureString |
    ConvertFrom-SecureString |
    Out-File "$PSScriptRoot\secure.bin"

Write-Host "パスワードを暗号化して secure.bin に保存しました。"

# 保存済みのSecureStringを復元してプレーンテキストに変換
$securePath = "$PSScriptRoot\secure.bin"
if (-not (Test-Path $securePath)) {
    Write-Error "secure.bin が見つかりません。先に暗号化スクリプトを実行してください。"
    exit 1
}

$secure = Get-Content $securePath | ConvertTo-SecureString
$plain = [System.Runtime.InteropServices.Marshal]::PtrToStringAuto(
    [System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($secure)
)
Write-Host "復元されたパスワード: $plain"

@echo off
setlocal

:: PowerShellでDPAPI復元→パスワードを一時ファイルに書き出し
powershell -ExecutionPolicy Bypass -Command ^
    "$s=Get-Content '%~dp0secure.bin'|ConvertTo-SecureString;" ^
    "$p=[System.Runtime.InteropServices.Marshal]::PtrToStringAuto(" ^
    "[System.Runtime.InteropServices.Marshal]::SecureStringToBSTR($s));" ^
    "$p|Out-File -Encoding ASCII '%TEMP%\tmppass.key' -NoNewline"

:: OpenSSLで復号
openssl enc -aes-256-cbc -d -pbkdf2 -iter 100000 ^
    -in "%~1" -out "%~dpn1.dec" ^
    -pass file:"%TEMP%\tmppass.key"

:: 一時パスワードファイルを即削除
del "%TEMP%\tmppass.key"
endlocal

@echo off
setlocal enabledelayedexpansion

:: ===== 設定 =====
set "BACKUP_DIR=C:\backup\daily"
set "ENCRYPT_DIR=C:\backup\encrypted"
set "PASSFILE=C:\scripts\pass.key"
set "LOG=C:\scripts\encrypt_log.txt"
set "DATE_STR=%DATE:~0,4%%DATE:~5,2%%DATE:~8,2%"

echo ==== 暗号化バックアップ開始 %DATE% %TIME% ==== >> "%LOG%"

:: 暗号化先フォルダの確認
if not exist "%ENCRYPT_DIR%" mkdir "%ENCRYPT_DIR%"

:: バックアップフォルダ内の .zip を暗号化
set "FOUND=0"
for %%F in ("%BACKUP_DIR%\*.zip") do (
    set "FOUND=1"
    set "OUTFILE=%ENCRYPT_DIR%\%%~nF_%DATE_STR%.enc"

    openssl enc -aes-256-cbc -salt -pbkdf2 -iter 100000 ^
        -in "%%F" ^
        -out "!OUTFILE!" ^
        -pass file:"%PASSFILE%" >> "%LOG%" 2>&1

    if errorlevel 1 (
        echo [ERROR] 暗号化失敗: %%F >> "%LOG%"
    ) else (
        echo [OK] 暗号化完了: !OUTFILE! >> "%LOG%"

        :: 暗号化後の元ファイルを削除（任意）
        :: del "%%F"
    )
)

if "%FOUND%"=="0" (
    echo [INFO] 暗号化対象ファイルなし。 >> "%LOG%"
)

echo ==== 暗号化バックアップ終了 %DATE% %TIME% ==== >> "%LOG%"
endlocal