サーバー管理者から秘密鍵を受信する:大丈夫かどうか?


20

リモートSFTPサーバーにアクセスします。管理者がユーザーを作成し、公開キーと秘密キーのペアを生成しました。その後、彼は秘密鍵ファイルを安全に私に送信しました。私はそれを認証に使用します。これは良くないと思います。キーペアを生成し、公開キーを彼に渡すのは私でなければなりません。しかし、このキーがそのサーバーにログインするためだけに使用され、他のサーバーにはログインしない場合、これが悪い理由を考えることはできません。そのような理由はありますか?


17
悪いセキュリティ衛生。サーバー管理者はよりよく知っている必要があり、外部ソースから秘密鍵を取得することをユーザーに「訓練」してはなりません。
-wmorrell

1
彼は誰にそれを与えていますか?常に起こりうる最悪の事態とは何だと思いますか?
マッケンズム

1
実際、そんなに悪いとは思わない。次の例(Eric Towers)では、ユーザーに「初期パスワード」を与え、すぐに変更する必要があります。個人的な経験から言えば、100回目のキーが何であるかをユーザーに説明するのは少し面倒です。管理者はまだ人間です。秘密鍵をあなたに与えるのは怠け者です-はい、しかしあなた自身でそれを置き換えることを止めるものは何もありません。本質的に、あなたがそれをあなたに送った後、あなたは再びシステム管理者を悩ませる必要はありません(彼らがファイルの書き込み許可をオフにすることを選択しない限り...それから、単にそれらをいらいらさせます)。
レイ

@matthiashこの質問はこのサイトに適合しますが、参考までに、他のセキュリティに関する質問のための情報セキュリティサイトがあります。
トファー

また、これがAWSがそれを行う方法でもあることを指摘したいと思います。インスタンスを作成するときに、公開鍵をアップロードしない場合、キーペアが生成され、秘密鍵をダウンロードします。
GnP

回答:


23

それはまさにあなたの言うとおりです。公開鍵認証の全体的な概念は、秘密鍵は所有者のみに知られるべきであり、対応する公開鍵は広く普及できるということです。認証のセキュリティは、公開キーのセキュリティではなく、秘密キーのセキュリティに依存します。

他の誰かがあなたに秘密鍵を提供するという事実は、それを自動的に危険にさらします。(他の管理者があなたになりすましに使用できるコピーをまだ持っているかどうかはわかりません。)


4
サーバー管理者から最高のものを想定し、ユーザーが複雑な秘密鍵を持っていないことを信頼しないため、新しいキーペアを生成する方が良いと想定します。サーバー管理者は、ユーザーの秘密キーは非常に古く、長年にわたって侵害されていると考えているのかもしれません。コンソーシアムまたはベンダーがキーを生成することをユーザーに信頼しないU2Fでも同じです。これが、U2Fデバイスに事前に作成されたキーが付属している理由です!
cornelinux

8
管理者は、ユーザーが秘密鍵を生成して保護するのを支援する必要があります。
アレックス

1
あなたはまったく正しい。しかし、多くの場合、管理者は人間よりもコンピューターの方が優れています、-)
cornelinux

7
とにかく、管理者はあなたになりすますことができます。
user253751

2
狭い例の理論的実践を現実と全体像と混同していると思います。とにかく管理者を信頼する必要があります。管理者はシステムを制御でき、キーを完全に使用する必要がなくなるためです。秘密鍵の配布は、エンドユーザーが鍵を作成する方法を理解していないか、秘密鍵を安全に作成する方法を理解していないため、現実世界で発生します。
ジェームズライアン

10

そのキーについては、組織には否認防止性がありません。IE、誰かが「あなたの」キーを使ってそのシステムに対して虐待的または破壊的な何かをした場合、管理者はそれに対して単独で責任を負っているという責任をあなたに向けることができません。あなたにそれを与えた人もキーを持っていたので。それはおそらくあなたにとってはそれほど悪いことではありません、それはあなたに防御を与えるからです。

提供されたキーからの書き込み権限を使用して、許可されたキーを更新し、キーを追加して、提供されたキーを削除できる場合があります。


3
実際、管理者は、管理上生成された最初のパスワードと同様に、ユーザーが最初に使用するときにキーを変更することを期待している場合があります。
エリックタワーズ

7
偉大な人物がかつて言った、「離れて期待」。初回使用の変更はパスワードに必要なことがよくありますが、公開キー暗号化には決して必要ではありません-それがちょっとポイントです。
ワンブル

@EricTowersそれは、現代のSFTP(または、SSHでさえも、自分で何かをまとめようとしない限り)実装で要求することさえ可能ですか?
CVn

この答えは、sftpを介したアクションがログのどこかに署名され、そのキーによってエンドツーエンドで保護されているという印象を与えます。これは単にそうではなく、管理者はキーを使用しなくてもアクションまたはログを改ざんできます。
ジェームズライアン

1
@marcelm:「すべての状況で例外が常に絶対に必須ではない」ではなく、「頻繁に必要」と言った理由があります。実際、パスワードハッシュと公開キーを定期的に要求(および受け入れ)する人として、公開キーよりも(安全なソルトとすべてを備えた)ハッシュされたパスワードを誰かに提供することは、はるかに高い障壁であることを知っています。SSHクライアントをお持ちの場合は、キー生成ツールがあります。同じことがcrypt、多くの面白い形で(2)を呼び出すことができるものについては言えません。
ワンブル
弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.