同じマシン上の別のユーザーからのSSHおよびGPGキーの認証

1
ScottWilson 2019-12-31 13:21.

これが可能か、あるいは推奨されるかどうか、私は興味があります。

ユーザーが私のユーザーアカウントを侵害した場合に、SSHまたはGPGキーを盗むことができないようにしたいとします(アカウントを呼び出しましょうuser)。そのため、アクセス許可がない別のアカウントのキーのプライベート部分が必要です(アカウントを呼び出しましょうuser-keys)。したがって、SSHまたはGPG認証を実行できるようにする場合は、その要求をuser-keysアカウントに送信する必要がありuserます。認証が機能し、結果がアカウントに返送されます。

これは可能ですか?もしそうなら、どのように?また、これは推奨されますか、それともインターネットからソフトウェアをダウンロードして実行する際の明らかな注意からキーサイドを保護する別のより良い方法がありますか?

1 answers

2
user1686 2019-12-31 14:43.

あなたは多かれ少なかれssh-agent、同様のツールを探しているでしょう。それらは署名キーをメモリに保持し(通常はデバッグツールでさえアクセスできないようにロックされています)、要求があった場合にのみ署名をディスペンスします。

  • ssh-agentは、アカウント間で共有するように正確に構築されているわけではありませんが、sshそれ自体に「エージェント転送」モードがあります。したがって、ユーザー1としてエージェントを起動してから実行するとssh -A [email protected]、ユーザー2として実行されているプロセスがエージェントに接続できるようになります。認証チャレンジに署名するように依頼します。(「ssh-A」によって作成された$ SSH_AUTH_SOCK値を知っている必要があることに注意してください。)

    これが機能するのは、ssh-agentのプロトコルに秘密鍵をエクスポートするコマンドがないためです。エージェントに秘密鍵を追加できます。あなたはそれを物事に署名させることができます。公開鍵をリストできます。以上です。

    または、メインアカウントでエージェントを実行し、実際の秘密鍵をリモートのどこかに保持してから、を使用して接続しssh -A、鍵を追加して、切断することもできます。もちろん、これには、ssh-agentが使用するOS提供のロックダウン機能(gdbを接続できないなど)を信頼する必要があります。

  • gpg-agentはSSH経由で転送するのが少し複雑ですが、それでも同じ一般的な考え方があります。これはGnuPGですでに必要とされていますが、アプリが接続するための2つの異なるソケットを提供します。S.gpg-agentフルアクセス(キーのエクスポートを含む)S.gpg-agent.extraを提供しますが、ssh-agentと同様の基本的な署名/復号化機能へのアクセスのみを提供します。

    gpg-agentはssh-agentとは異なり、前者は永続的なキーストレージ(〜/ .gnupg /の下のファイルとして)を持っているため、「代替」メソッドは機能しないことに注意してください。また、独自のパスワードダイアログポップアップ(ピンエントリ)を起動することを要求します。これも、SSH転送を試みるときに問題を引き起こす可能性があります。

    したがって、ディストリビューションがサポートしている場合は、AppArmorやSELinuxなどの「必須アクセス制御」モジュールを実際に調べます。これらのモジュールを使用すると、エージェントプロセス以外の同じUIDからでも〜/ .gnupg /へのすべてのアクセスを拒否できます。

Related questions

MORE COOL STUFF

ケイト・ブランシェットは3日間一緒に夫と一緒に寝て、25年経ってもまだ夫と結婚しています

ケイト・ブランシェットは3日間一緒に夫と一緒に寝て、25年経ってもまだ夫と結婚しています

ケイト・ブランシェットは、夫に会ったとき、典型的な交際のアドバイスに逆らいました。

マイケルシーンが非営利の俳優である理由

マイケルシーンが非営利の俳優である理由

マイケルシーンは非営利の俳優ですが、それは正確にはどういう意味ですか?

ホールマークスターのコリンエッグレスフィールドがRomaDramaLiveでスリル満点のファンと出会う![エクスクルーシブ]

ホールマークスターのコリンエッグレスフィールドがRomaDramaLiveでスリル満点のファンと出会う![エクスクルーシブ]

特徴的なスターのコリン・エッグレスフィールドは、RomaDrama Liveでのスリル満点のファンとの出会いについて料理しました!加えて、大会での彼のINSPIREプログラム。

「たどりつけば」をオンラインでストリーミングできない理由

「たどりつけば」をオンラインでストリーミングできない理由

ノーザンエクスポージャーが90年代の最も人気のある番組の1つになった理由を確認するには、Blu-rayまたはDVDプレーヤーをほこりで払う必要があります。

Where in the World Are You? Take our GeoGuesser Quiz

Where in the World Are You? Take our GeoGuesser Quiz

The world is a huge place, yet some GeoGuessr players know locations in mere seconds. Are you one of GeoGuessr's gifted elite? Take our quiz to find out!

バイオニック読書はあなたをより速く読むことができますか?

バイオニック読書はあなたをより速く読むことができますか?

BionicReadingアプリの人気が爆発的に高まっています。しかし、それは本当にあなたを速読術にすることができますか?

ドミニカのボイリング湖:アクセスは簡単ではありませんが、ハイキングする価値があります

ドミニカのボイリング湖:アクセスは簡単ではありませんが、ハイキングする価値があります

ドミニカのボイリング湖は、世界で2番目に大きいボイリング湖です。そこにたどり着くまでのトレッキングは大変で長いですが、努力する価値は十分にあります。

私たちの水をきれいに保つのを助けるためにあなたの髪を寄付してください

私たちの水をきれいに保つのを助けるためにあなたの髪を寄付してください

サロンからのヘアトリミングや個人的な寄付は、油流出を吸収して環境を保護するのに役立つマットとして再利用できます。

グアンタナモ湾で唯一のイスラム教徒の軍曹としてラマダンを祝うのはどのようなものですか

グアンタナモ湾で唯一のイスラム教徒の軍曹としてラマダンを祝うのはどのようなものですか

この画像は法的な理由で削除されました。グアンタナモ湾の116人のイスラム教徒の囚人が断食をし、金曜日の夜にラマダンの30日間を終えたとき、彼らは1か月の夜間の祈りと強制給餌を日没まで延期しました。

木曜日のお得な情報:スタンディングデスク、ロボット掃除機、ライトニングケーブルなど

木曜日のお得な情報:スタンディングデスク、ロボット掃除機、ライトニングケーブルなど

2つのスタンディングデスク、新しいロボット掃除機、6フィートの稲妻ケーブル、その他多くの今日のお得な情報を大幅に節約できます。Kinjaディールをブックマークして、TwitterやFacebookでフォローしたり、Kinjaディールコミュニティグループに参加したり、ニュースレターに登録して、ディールを見逃さないようにしてください。

次の大きな日食は1年先ですが、人々はすでにパーティーを計画しています

次の大きな日食は1年先ですが、人々はすでにパーティーを計画しています

写真提供者:APこれだけの計画で、アメリカ人は結婚式をまとめていると思うでしょうが、実際にはもっと大きなもののためです。

70年以上にわたる世界の核兵器の興亡

70年以上にわたる世界の核兵器の興亡

1987年以来、原子力科学者会報は、各国の核兵器を核ノートに数え、これらの数をしばしば取り巻く秘密のベールを剥がしてきました。Bulletinは廃止され、NuclearNotebookがすっきりとしたインタラクティブなグラフィックになりました。

Plathville の Kim と Olivia Plath が数年ぶりに言葉を交わすことへようこそ

Plathville の Kim と Olivia Plath が数年ぶりに言葉を交わすことへようこそ

イーサン プラスの誕生日のお祝いは、TLC のウェルカム トゥ プラスビルのシーズン 4 のフィナーレで、戦争中の母親のキム プラスと妻のオリビア プラスを結びつけました。

Nicky Hilton Forced to Borrow Paris' 'I Love Paris' Sweatshirt After 'Airline Loses All [My] Luggage'

Nicky Hilton Forced to Borrow Paris' 'I Love Paris' Sweatshirt After 'Airline Loses All [My] Luggage'

Nicky Hilton Rothschild's luggage got lost, but luckily she has an incredible closet to shop: Sister Paris Hilton's!

ケイト・ミドルトンはロンドンの水辺で一日を過ごし、さらにジェニファー・ロペス、ジュリアン・ハフなど

ケイト・ミドルトンはロンドンの水辺で一日を過ごし、さらにジェニファー・ロペス、ジュリアン・ハフなど

ケイト・ミドルトンはロンドンの水辺で 1 日を過ごし、ジェニファー・ロペス、ジュリアン・ハフなども。ハリウッドからニューヨークまで、そしてその間のあらゆる場所で、お気に入りのスターの活躍をご覧ください!

ウィスコンシン川でのナイフ攻撃で 17 歳の少年が刺されて死亡、他の 4 人が負傷したままになっている

ウィスコンシン川でのナイフ攻撃で 17 歳の少年が刺されて死亡、他の 4 人が負傷したままになっている

捜査官は、グループと容疑者が攻撃の前にお互いを知っていたかどうかを調べています

滑走路着陸

滑走路着陸

晩夏と秋はノスタルジックな季節。街灯は雨で濡れた通りに光を放ち、足元の葉 - 夕暮れの影の中で落ち着いた赤オレンジ - は過ぎ去った日々を思い出させます。

実際に変換するコンテンツ戦略を作成することを想像してみてください。それが可能だ。

実際に変換するコンテンツ戦略を作成することを想像してみてください。それが可能だ。

2021 年には、サービスを提供する顧客と顧客に伝えるストーリーについて知っていることをすべて再考することをお勧めします。あとずさりする。

マンモスロスは私の心を愛に開いた

マンモスロスは私の心を愛に開いた

フェリックス ザ キャットの 9 歳の誕生日の日に、大人になってからの最大の損失の 1 つである 2013 年のソフィーを思い出します。私はこのエッセイを書き、2013 年にこのプラットフォームで簡単に共有しました。

あなたがインターネットがあなたに望んでいる人になれないとき

あなたがインターネットがあなたに望んでいる人になれないとき

私は「列車事故」という言葉が嫌いです。人々は自分自身の道徳的羅針盤に安らぎを覚え、そうすることで自分自身が判断を下していることに気づきます。

Language