トークンの依存関係を作成するには、サーバーへのSSH接続にPKCS#11を使用します。

Question

PKCS#11Ubuntuサーバー上でリモートSSH接続を構成し、ユーザーがハードウェアトークンを使用してログインできるようにしました。ここただし、この状態では、ユーザーはサーバーにログインしてトークンを削除し、ログインのために他のユーザーに渡すことができます。トークンを削除すると、サーバーへの接続を維持できなくなるようにユーザーを制限したいです（またはしばらくすると）。たとえば、トークンへの継続的な依存関係を構成したいです。特定のSSHクライアントを開発する必要がありますか？現在、私はパテCACクライアントとして。

Answer 1

いいえ、クライアントを変更しなければそれは不可能です。SSH でのユーザー認証は、接続全体に対して 1 回だけ実行され、そもそもクライアントによって開始されます。

SSHv2はサポートしています鍵の再生成これはサーバーによって開始される場合もありますが、ユーザーのキーペアではなく、サーバーの「ホスト」キーペアへの依存関係のみが作成されます。

ただし、「gssapi-keyex」メカニズムは、Kerberos ユーザー認証をキー交換方法に統合し、期限切れでない Kerberos チケットをユーザーが持っていることに依存するため、例外となる可能性がありますが、PKCS#11 を使用している場合は、Kerberos を使用していません。

（PKCS#11トークンをPageant-CAC（PuTTYのSSHキーエージェント）にロードし、SSH「エージェント転送」を有効にして、サーバーが転送されたエージェントから定期的に署名を要求できるようにするハックも考えられますが、もちろんこれには大規模同じ「エージェント転送」機能を通じて、PKCS#11 トークンが悪意のあるサーバーによって悪用される可能性があるという欠点があります。

これを会社のポリシーの問題として扱い、アカウント共有に何らかの影響を及ぼしてもよいでしょう。