GPG スマートカード (YubiKey) 秘密鍵のエクスポート

Question

私はWindows上でYubiKey 4を使ってGPG4Winを使用しています。

--card-edit プロンプトを使用してキーを生成したので、キーは (私の知る限り) カードから出ることはなかったはずです。

PuTTy 統合を使用すると、SSH 認証に最適です。

秘密鍵がスマート カード (YubiKey) に安全に保存されている場合、暗号操作はカードのオンボード プロセッサに渡されて秘密鍵が外部に漏れないようにするため、秘密鍵をエクスポートすることはできないはずだという印象を持っていました。

ただし、GPG4Win GUI の Kleopatra を開き、キーを右クリックして「秘密キーをエクスポート」すると、暗号化されていない秘密キーが問題なくエクスポートされます。

これはトークンのセキュリティの目的に反するように感じますが、何が間違っているのでしょうか?

管理者 PIN も入力しておらず、SSH 経由で認証するために使用していた標準 PIN のみを入力していました。

これが想定される動作である場合、トークンが差し込まれているときに攻撃者が PC からバックグラウンドでキーをダンプするのを阻止するにはどうすればよいでしょうか? それ以上の認証を求めるプロンプトも表示されませんでした。