Zwischenspeichern einer Master-Passphrase auf einem Linux-Server

Question

Ich versuche zu verwendenSchlüsselanhängerauf der neuesten stabilen Debian-Version mit einigen Schwierigkeiten. Bei der Online-Suche konnte ich keine Lösung finden, dachte aber, dass in diesem Fall vielleicht ein anderer Ansatz oder ein anderes Tool besser wäre.

Ich möchte etwas einigermaßen Einfaches erreichen:

• Wenn Sie sich nach dem Neustart als Root am Server anmelden, wird der Benutzer aufgefordert,Master-Passphrase einmal.
• Diese Passphrase wird in den Speicher geladen und zum Entsperren verwendetbeide( ssh private keywird zum Abrufen von Code aus einem Remote-Git-Repository, zur Remote-Authentifizierung usw. verwendet) und gpg private key(wird zum Entschlüsseln einiger Konfigurationsparameter verwendet, die ebenfalls von Git stammen).

Auf diese Weise könnte man die Passphrase nur extrahieren, wenn man Zugriff auf das Root-Konto hat oder den Speicher auslesen kann. Sobald der Server neu gestartet wird, wird die Passphrase gelöscht. Ich habe weder das Budget noch die Ressourcen für ein HSM oder etwas Aufwändigeres. Ich möchte etwas Einfaches und Billiges, das zuverlässig und sicher genug funktioniert.

Keychain scheint ein guter Kandidat zu sein, aber ich kann es nicht richtig zum Laufen bringen, um beide Anforderungen zu erfüllen. Es fragt nämlich zweimal nach der Passphrase, und wenn man versucht, etwas mit GPG zu entschlüsseln, fragt es ein drittes Mal danach ... Gibt es eine Möglichkeit, dies sicher mit Keychain oder einem anderen Tool oder Shell-Skript zu erreichen?

[PS: nicht sicher, ob das zu ServerFault oder hierher gehört]

Answer 1

Verwenden Sie ein separates verschlüsseltes Dateisystem (das tatsächlich in einer normalen Datei gespeichert und über dm gemountet werden kann). In Bezug auf die Sicherheit haben die Zugriffsberechtigungen für das Dateisystem denselben Zweck wie das Speichern im virtuellen Speicher eines laufenden Prozesses – beide können von Root aufgerufen werden (es sei denn, Sie ergreifen zusätzliche Maßnahmen, um dies zu verhindern). Tatsächlich sollte es weniger wahrscheinlich sein, dass das Passwort im Swap landet, als wenn es in einem Agent-Helfer zwischengespeichert wird; aber Sie sollten Ihren Swap trotzdem verschlüsselt halten (oder vollständig deaktivieren), wenn Sicherheit Ihr Hauptanliegen ist.