Lassen Sie mich zunächst sagen, dass ich weiß, dass die Weitergabe eines privaten Schlüssels eine ziemlich dumme Sache ist, ähnlich wie das Erstellen von Kopien Ihres Passworts und das Verteilen dieser Kopien (in diesem Fall verschlüsselte Kopien, die zur Verwendung entschlüsselt werden) – das ist nichts, was ich tun möchte oder vorhabe. Mir fällt jedoch keine andere Alternative ein, also finde ich entweder einen sicheren Weg, das Undenkbare zu umgehen, oder ich bitte die Superuser-Community um Weisheit bei der Suche nach einer geeigneten Alternative.
Hypothetische Situation:
Wir haben viele (Hunderte) Geräte vom Typ Home-Server an Kunden verteilt, von denen jedes denselben öffentlichen RSA-Schlüssel enthält.
Das Unternehmen ist der einzige Besitzer des zugehörigen privaten Schlüssels. Wir stellen jedoch für Supportzwecke Techniker ein, die diesen Schlüssel verwenden müssen, um auf die Server der Kunden zuzugreifen und effektiv zu arbeiten.
Natürlich würde jeder von ihnen eine Kopie des privaten Schlüssels benötigen, die kennwortgeschützt wäre. Wenn sie jedoch das Kennwort für die Verwendung erhielten, könnten sie den unverschlüsselten privaten Schlüssel frei verteilen und kompromittieren.
Gibt es also eine Möglichkeit, vielleicht mithilfe eines Drittanbieterprogramms, jedem Techniker ein eigenes Kennwort zuzuweisen, das das Programm (das das wahre Kennwort für den Schlüssel sicher gespeichert hat) dann als Autorisierung zum Entschlüsseln des Schlüssels und für die Verbindung verwenden könnte – ohne die entschlüsselte Form auf der Festplatte zu speichern/dem Techniker Zugriff zu gewähren?
Abschließende wichtige Punkte:
Der Server-Login des Kunden (wird mit dem Produkt eindeutig geliefert) ist aus Gründen, die für diese Frage nicht relevant sind, nicht auf Administratorebene. Techniker könnten nicht einfach einen Standardbenutzernamen und ein Standardkennwort für den Administratorzugriff verwenden, da sie diese Informationen auch weitergeben und die Sicherheit gefährden könnten, ohne dass wir das Leck auf sie zurückführen könnten.
Soweit mir bekannt ist, ist dies nicht machbar, daher muss jedem Ingenieur ein eigenes Schlüsselpaar zugewiesen werden, da jedes Produkt bei jeder Einstellung eines neuen Ingenieurs mit einem neuen öffentlichen Schlüssel aktualisiert werden müsste.
Mir ist auch bewusst, dass eine entschlossene Person einen unverschlüsselten Schlüssel extrahieren könnte, selbst wenn dieser nur vorübergehend im Speicher des Computers abgelegt ist – ein weiterer Grund, warum ich mir eine Alternative wünsche.
Schließlich möchte ich aufgrund der damit verbundenen Kosten eine hardwarebasierte Authentifizierung vermeiden.
Vielen Dank im Voraus für Ihre Vorschläge
Antwort1
Sie können eineSprungserveran Ihrem Arbeitsplatz/in Ihrem Büro, auf dem die erforderlichen Anwendungen und der private Schlüssel installiert sind. Dann benötigen alle angeheuerten Techniker Fernzugriff (RDP/VNC) auf diesen einen Server, von dem aus sie auf die Server Ihres Kunden zugreifen können.
Selbst wenn dies funktioniert, ist es nicht perfekt, da Sie den privaten Schlüssel zwar immer noch teilen, dieser sich jedoch an einem Ort befindet und nicht auf den Computern aller Ingenieure.