署名されたSSHキーペアなどはありますか？

アプリケーションのリモートサーバーにファイルを転送しています。必要な認証方法は、SSHキーを使用することです。

そのため、ssh-keygenを使用してキーペアを作成し、リモートホストのauthorized_keysファイルに挿入するために公開鍵を送信しました。しかし、これは、ITセキュリティーによって拒否されました。ITセキュリティは、彼らが私のために鍵ペアを生成し、私に秘密鍵を送信すると述べた。理由：「SSH鍵はITセキュリティチームによって署名される必要があります。これは、追跡と説明責任を確実にリードするためです。」

明らかに、これには問題があります。誰かが秘密鍵を生成するということは、知らないうちにその人になりすましてもらうことができるということです。私はこの議論を否定する方法を見つけようとしています。

私がグーグルできる限り、サインオンした人を追跡するのに役立つようなキーにサインする方法は知られていないようです。公開鍵を送信したという事実は、私がその鍵を所有しており、その鍵を使用してリモートサーバーにサインオンした人は、デフォルトで自分自身として識別されることを意味します。署名はどのように役立ちますか？そして、どうやって彼らはとにかく署名しますか？

私が間違っている場合、誰かが私に手掛かりをしてください、ありがとう！

さて、SSHキーに署名する方法はないと判断したので、実際にログインしている人を追跡する方法をITセキュリティに示す必要があります（建設的なものでなければならない、多分、強引ではありません） ）。私のサーバーでは、sshdのLogLevelをDEBUGに設定しました。したがって、ログインすると、次のスニペットが表示されます。

Found matching DSA key: xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx:xx

これはハッシュ値のようです。これを、authorized_keysファイルのどの公開鍵が使用されたかに関連付けるにはどうすればよいですか？私は言う別の行があることを知っています：

debug1: matching key found: file /home/bofh/.ssh/authorized_keys2, line 1

ただし、ファイルの先頭にキーを挿入して元のキーを押し下げると、行番号を簡単に変更できるので、これはあまり役に立ちません。

ありがとう！

あなたがあなたの質問をして以来、宇宙は変わりました。

openssh5.4は、まさに求めていた種類の証明書のサポートを追加しました。詳細については、http：//www.openssh.org/txt/release-5.4（およびmanページ）のリリースノートを参照してください。または、本当に狂気になりたい場合は、PROTOCOL.certkeysで詳細を確認してください。

あなたの質問を読んだときの私の第一印象は、IT担当者がSSHとSSLを混ぜ合わせており（私たちが署名する必要があります）、SSL署名が実際にどのように機能するか理解していないということです。

とにかく、（私が知っている）SSHキーに署名できる方法はありません。

このリクエストは正しくありません。

署名されたファイルをサーバーに配信する場合、これは
最低限の処理で済むと思います。

1. 自分用のキーペアを作成します（これをマイキーと呼びます）
   • 何かを送りたい時
   • あなたは最初にそれを暗号化します my-key-private
   • 次に、この暗号化されたファイルをサーバーにアップロードします
   • サーバーの誰かがこのようなプロセスを逆にしなければなりません、
   • 彼らはあなたmy-key-pubを使ってファイルを復号化します
   • ファイルを送信した場合、復号化してファイルを復元します
   • それ以外の場合、使用可能なファイルは取得されません
   • 事実上、秘密鍵でファイルに署名した
   • 彼らはあなたの公開鍵で署名を検証しました
   • 説明責任は、あなたがファイルを送信したことを確認することによって影響を受けます

そのようなことを行う他の方法がありますが
、誰かが生成したキーペアを取得することは、認証スキームとしては役に立ちません。
それはあなたがあなた自身を信頼するのと同じくらい彼らを信頼するという強い含意を持っています。

これらは、ITに質問できる最初の質問です。説明責任が ITの懸念事項である
場合、

1. 彼らはあなたが彼らからあなたに与えられたキーペアを共有/紛失しないことをどのように確認しますか？そして、
   • この鍵ペアからITへの概念は、ITから提供されたパスワードとどのように異なりますか。
     その場合、なぜ鍵ペアに悩む必要があるのでしょうか。

ベアキーの代わりにSSH認証にX.509証明書を使用できなかった理由はありません。実際、OpenSSHがこのように機能した場合、私はそれをはるかに好みます！しかし、OpenSSHのストックバージョンはそうではなく、最近では主流の実装になっています。

私はOpenSSHのパッチを当てたバージョンがいくつか浮かんでいるのを見てきました。商用のSSH.com実装もX.509認証をサポートしているようです。したがって、組織がこれらのいずれかを使用している場合、中央機関による鍵の署名を要求することは十分に理にかなっています。

とはいえ、秘密キーをサードパーティが生成することを要求する言い訳はありません！SSLに使用される他のX.509証明書と同じように、X.509ルートを使用する場合は、キーペアと証明書署名リクエストを生成する必要があります。