ทำไม Amazon ถึงปล่อยกุญแจส่วนตัวแทนกุญแจสาธารณะ?

สมองของฉันโอบรอบเพลาด้วยกุญแจสาธารณะและกุญแจส่วนตัว เมื่อคุณสร้างเซิร์ฟเวอร์คลาวด์ (อินสแตนซ์) บนบริการ EC2 ของ Amazon และต้องการเชื่อมต่อผ่าน SSH Amazon จะต้องให้คุณดาวน์โหลดกุญแจส่วนตัวเพื่อทำการเชื่อมต่อ แนวคิดเบื้องหลังคีย์สาธารณะ / ส่วนตัวไม่แนะนำให้ Amazon ควรกำหนดให้คุณดาวน์โหลดรหัสสาธารณะหรือไม่

เพิ่มเติมหากฉันตั้งค่าเซิร์ฟเวอร์ SFTP เพื่อให้ลูกค้าใช้งานฉันควรติดตั้งรหัสของพวกเขาบนเซิร์ฟเวอร์หรือให้รหัสจากเซิร์ฟเวอร์หรือไม่ ไม่ว่าในกรณีใดมันควรเป็นกุญแจสาธารณะหรือส่วนตัว?

เมื่อคิดอย่างลึกซึ้งยิ่งขึ้นเกี่ยวกับกระบวนการรับรองความถูกต้องสิ่งที่ต้องเก็บเป็นความลับคืออะไร อเมซอนรู้ครึ่งสาธารณะของกุญแจและใคร ๆก็รู้ว่าครึ่งสาธารณะ พับลิกสาธารณะของ keypair เมื่อจับคู่กับไพรเวตครึ่งแสดงว่าใช้ไพรเวตครึ่งเพื่อพิสูจน์ตัวตน

รหัสส่วนตัวของคุณที่ให้ไว้กับคุณเมื่อ Amazon สร้าง keypair ให้คุณจะมีประโยชน์เฉพาะในกรณีที่คุณเป็นคนเดียวที่มีมัน หากไม่ใช่ความลับใครก็ตามที่รู้ว่ามันสามารถตรวจสอบความถูกต้องกับใครก็ตามที่ถือกุญแจสาธารณะครึ่งหนึ่งได้

ใครก็ตามที่ถูกรับรองความถูกต้องจะต้องถือครึ่งส่วนตัว ไม่เป็นไรถ้าทุกคนในโลกสามารถรับรองความถูกต้องของคุณได้โดยถือกุญแจสาธารณะครึ่งหนึ่งของกุญแจ แต่เพียงคุณเท่านั้นที่จะสามารถควบคุมครึ่งส่วนตัวได้

Amazon ให้บริการการสร้างคีย์เนื่องจากระบบปฏิบัติการบางระบบ (ไอ, Windows, ไอ) อาจไม่สะดวกในการสร้างคู่คีย์ SSH

ด้วย SSH (และ SFTP) คีย์สาธารณะจะถูกติดตั้งในไฟล์ authorized_keys ของผู้ใช้เมื่ออินสแตนซ์ EC2 เริ่มต้นขึ้น ไพรเวตคีย์ถูกเก็บไว้โดยผู้ใช้เท่านั้นและจะถูกนำเสนอเพื่อพิสูจน์ตัวตนกับเซิร์ฟเวอร์

จากเอกสารที่:

http://docs.amazonwebservices.com/AWSEC2/latest/APIReference/ApiReference-query-CreateKeyPair.html

ปรากฏว่า Amazon สร้าง keypair บนเซิร์ฟเวอร์ของพวกเขาและส่งรหัสส่วนตัวให้คุณผ่าน HTTPS นี่อาจจะน้อยกว่าที่สมบูรณ์แบบ (นึกคิดคุณและไม่มีใครอื่นที่จะมีกุญแจส่วนตัว) แต่อาจจะไม่มากชะมัดเพราะสิ่งนี้เกิดขึ้นในบริบทของเซสชั่นการรับรองความถูกต้องของคุณและคุณเท่านั้น (และ Amazon ชั่วคราว) เห็น รหัสส่วนตัว นอกจากนี้คุณยังสามารถสร้างและอัพโหลดกุญแจสาธารณะของคุณเองสำหรับการใช้ EC2 ในขณะที่รักษารหัสส่วนตัวอย่างเคร่งครัด

สำหรับการตั้งค่าผู้ใช้ SFTP สำหรับการพิสูจน์ตัวตนกุญแจพวกเขาควรจะสร้างกุญแจ SSH บนเครื่องของพวกเขา เมื่อพวกเขาสร้างคู่กุญแจพวกเขาควรจะส่งกุญแจสาธารณะให้คุณเพื่อติดตั้งในไฟล์ authorized_keys ที่เกี่ยวข้อง คีย์ส่วนตัวตามชื่อหมายถึงเป็นส่วนตัว

การพิสูจน์ตัวตนกุญแจสาธารณะนั้นทำงานในทิศทางตรงกันข้ามกับที่คุณคิด กุญแจสาธารณะเข้ารหัสข้อความและรหัสส่วนตัวถอดรหัสพวกเขา เซิร์ฟเวอร์จัดเก็บรหัสสาธารณะของเจ้าของบัญชีและใช้เพื่อเข้ารหัสข้อความ เฉพาะเจ้าของของไพรเวตคีย์เท่านั้นที่สามารถถอดรหัสข้อความนั้นได้

หากคุณส่งรหัสลับให้ใครบางคนด้วยรหัสสาธารณะถ้าพวกเขาสามารถบอกคุณได้ว่าความลับนั้นคืออะไรคุณจะรู้ว่าพวกเขามีรหัสส่วนตัวที่ตรงกัน ผู้ใช้จะได้รับการรับรองความถูกต้องแล้ว

AWS ต้องการให้คุณดาวน์โหลดและบันทึกคีย์ส่วนตัวของคุณเพราะพวกเขาจะไม่เก็บไว้เพื่อความปลอดภัย เนื่องจากไม่ได้เก็บคีย์ส่วนตัวในที่ใด ๆ บน AWS คุณจึงมั่นใจได้ว่าอินสแตนซ์ EC2 ของคุณปลอดภัย

ในแง่หนึ่งมันไม่สำคัญ คู่คีย์ส่วนตัว / สาธารณะประกอบด้วยสองส่วนและส่วนใดที่เป็นคู่สาธารณะขึ้นอยู่กับคุณ หากบางสิ่งถูกเข้ารหัสด้วยคีย์เดียวคุณต้องอีกอันหนึ่งเพื่อถอดรหัส หากคุณได้เผยแพร่คีย์หนึ่งสู่สาธารณะและไม่ใช่รหัสอื่นคีย์ส่วนตัวคือรหัสที่คุณไม่ได้เผยแพร่

ทำความเข้าใจกับคำถามที่แท้จริงของคุณ: สมมุติว่ากุญแจสำคัญที่อเมซอนให้คุณคือให้คุณควบคุมทรัพยากรของตัวเองดังนั้นจึงไม่ควรให้คนอื่น ในบริบทนี้คุณต้องไว้วางใจให้อเมซอนมีคีย์ส่วนตัวของคุณอย่างน้อยก็นานพอที่จะตั้งค่าได้

หากคุณต้องการให้ลูกค้าของคุณลงชื่อเข้าใช้ด้วยวิธีนี้คุณต้องให้ลูกค้าระบุรหัสที่พวกเขาพร้อมที่จะแบ่งปันกับคุณดังนั้นรหัสสาธารณะของพวกเขา คุณติดตั้งสิ่งนี้บนเซิร์ฟเวอร์ใน authorized_keys ซึ่งพูดอย่างมีประสิทธิภาพว่า "ใครก็ตามที่กดรหัสส่วนตัวที่ตรงกับที่สาธารณะนี้สามารถเข้าถึงทรัพยากรนี้ได้"