История изменений

от какого вектора атаки ты защищаешься?

• От расшифровки квантовыми компьютерами слабой криптухи на популярном аппаратном крипто

• закладок провалов и без того не самой топовой криптухи в аппаратных криптотокенах типа Nitrokey, Yubkiery, Rutoken ECP, etc. при использовании их для шифрования онлайн данных

входит ли Workstation в этот твой «периметр помещения» (и какой в этом всем смысл, если нет)

Конечно входит. Одноплатник почти вплотную подключен к Workstation.

что ты собрался делать на Workstation?

Например, запускать open-ssh -I /xxx/SoC_pkcs11_provider.so.

почему это нельзя сделать, просто положив .gnupg в tmpfs на Workstation?

Ответ на этот вопрос точно такой же как и для любого другого аппаратного токена PKCS11: Потому что там его сопрут трояны и буткиты на Workstation. Впрочем буткиты могут спереть сессионный ключ SSH из оперативки, но это отдельная проблема, которую нужно решать отдельно, например использованием для админского SSH терминала еще одного выделенного компа, вероятно одноплатник и Pentium1, но все же класть сильный ключ прямиком на его FS не хотелось бы. Кроме того для варианта с Pentium1, использование PKCS11 вероятно аутсорсит вычислительную нагрузку на более современный одноплатник, оставляя для P1 относительно легкую работу только с графикой и быстрым сессионным ключом.

что, кроме тормозов, тебе даст шифрование сильного ключа слабым ключом?

Слабый ключ используется только офлайн только на одноплатнике для шифрования более длинного ключа более интересного антиквантового алгоритма (на рабочую станцию он никогда не попадает), даст хотя бы какую-то защиту от физического спирания plain ключа в одноплатнике, когда периметр помещения нарушен, например, чел. временно отсутствует в помещении.

Для сильного ключа, хранимого только на SoC одноплатнике и неизвлекаемого в Workstation, можно выбирать любой самый сильный современный алгоритм, без ограничений, которые наложены на массовых производителей аппаратных ключей. Т.е. можно выбрать самые современные асимметричные шифры типа такого:

  Hybrid Streamlined NTRU Prime + x25519 is a key exchange method that combines the NTRU Prime and x25519 algorithms with SHA-512 to provide post-quantum cryptography2.
  This method is used in the Secure Shell (SSH) protocol and is now the default key exchange method in OpenSSH 9.1.
  The NTRU algorithm is believed to resist attacks enabled by future quantum computers and is paired with the x25519 ECDH key exchange as a backstop against any weaknesses in NTRU Prime that may be discovered in the future4.
  The combination ensures that the hybrid exchange offers at least as good security as the previous default key exchange method4.

от какого вектора атаки ты защищаешься?

• От расшифровки квантовыми компьютерами слабой криптухи на популярном аппаратном крипто

• закладок провалов и без того не самой топовой криптухи в аппаратных криптотокенах типа Nitrokey, Yubkiery, Rutoken ECP, etc. при использовании их для шифрования онлайн данных

входит ли Workstation в этот твой «периметр помещения» (и какой в этом всем смысл, если нет)

Конечно входит. Одноплатник почти вплотную подключен к Workstation.

что ты собрался делать на Workstation?

Например, запускать open-ssh -I /xxx/SoC_pkcs11_provider.so.

почему это нельзя сделать, просто положив .gnupg в tmpfs на Workstation?

Ответ на этот вопрос точно такой же как и для любого другого аппаратного токена PKCS11: Потому что там его сопрут трояны и буткиты на Workstation.

что, кроме тормозов, тебе даст шифрование сильного ключа слабым ключом?

Слабый ключ используется только офлайн только на одноплатнике для шифрования более длинного ключа более интересного антиквантового алгоритма (на рабочую станцию он никогда не попадает), даст хотя бы какую-то защиту от физического спирания plain ключа в одноплатнике, когда периметр помещения нарушен, например, чел. временно отсутствует в помещении.

Для сильного ключа, хранимого только на SoC одноплатнике и неизвлекаемого в Workstation, можно выбирать любой самый сильный современный алгоритм, без ограничений, которые наложены на массовых производителей аппаратных ключей. Т.е. можно выбрать самые современные асимметричные шифры типа такого:

  Hybrid Streamlined NTRU Prime + x25519 is a key exchange method that combines the NTRU Prime and x25519 algorithms with SHA-512 to provide post-quantum cryptography2.
  This method is used in the Secure Shell (SSH) protocol and is now the default key exchange method in OpenSSH 9.1.
  The NTRU algorithm is believed to resist attacks enabled by future quantum computers and is paired with the x25519 ECDH key exchange as a backstop against any weaknesses in NTRU Prime that may be discovered in the future4.
  The combination ensures that the hybrid exchange offers at least as good security as the previous default key exchange method4.

от какого вектора атаки ты защищаешься?

• От расшифровки квантовыми компьютерами слабой криптухи на популярном аппаратном крипто

• закладок провалов и без того не самой топовой криптухи в аппаратных криптотокенах типа Nitrokey, Yubkiery, Rutoken ECP, etc. при использовании их для шифрования онлайн данных

входит ли Workstation в этот твой «периметр помещения» (и какой в этом всем смысл, если нет)

Конечно входит. Одноплатник почти вплотную подключен к Workstation.

что ты собрался делать на Workstation?

Например, запускать open-ssh -I /xxx/SoC_pkcs11_provider.so.

почему это нельзя сделать, просто положив .gnupg в tmpfs на Workstation?

Ответ на этот вопрос точно такой же как и для любого другого аппаратного токена PKCS11:

Потому что там его сопрут трояны и буткиты из Workstation, если заломают и одноплатник.

что, кроме тормозов, тебе даст шифрование сильного ключа слабым ключом?

Слабый ключ используется только офлайн только на одноплатнике для шифрования более длинного ключа более интересного антиквантового алгоритма (на рабочую станцию он никогда не попадает), даст хотя бы какую-то защиту от физического спирания plain ключа в одноплатнике, когда периметр помещения нарушен, например, чел. временно отсутствует в помещении.

Для сильного ключа, хранимого только на SoC одноплатнике и неизвлекаемого в Workstation, можно выбирать любой самый сильный современный алгоритм, без ограничений, которые наложены на массовых производителей аппаратных ключей. Т.е. можно выбрать самые современные асимметричные шифры типа такого:

  Hybrid Streamlined NTRU Prime + x25519 is a key exchange method that combines the NTRU Prime and x25519 algorithms with SHA-512 to provide post-quantum cryptography2.
  This method is used in the Secure Shell (SSH) protocol and is now the default key exchange method in OpenSSH 9.1.
  The NTRU algorithm is believed to resist attacks enabled by future quantum computers and is paired with the x25519 ECDH key exchange as a backstop against any weaknesses in NTRU Prime that may be discovered in the future4.
  The combination ensures that the hybrid exchange offers at least as good security as the previous default key exchange method4.

от какого вектора атаки ты защищаешься?

• От расшифровки квантовыми компьютерами слабой криптухи на популярном аппаратном крипто

• закладок провалов и без того не самой топовой криптухи в аппаратных криптотокенах типа Nitrokey, Yubkiery, Rutoken ECP, etc. при использовании их для шифрования онлайн данных

входит ли Workstation в этот твой «периметр помещения» (и какой в этом всем смысл, если нет)

Конечно входит. Одноплатник почти вплотную подключен к Workstation.

что ты собрался делать на Workstation?

Например, запускать open-ssh.

почему это нельзя сделать, просто положив .gnupg в tmpfs на Workstation?

Ответ на этот вопрос точно такой же как и для любого другого аппаратного токена PKCS11:

Потому что там его сопрут трояны и буткиты из Workstation, если заломают и одноплатник.

что, кроме тормозов, тебе даст шифрование сильного ключа слабым ключом?

Слабый ключ используется только офлайн только на одноплатнике (на рабочую станцию он никогда не попадает), даст хотя бы какую-то защиту от физического спирания plain ключа в одноплатнике, когда периметр помещения нарушен, например, чел. временно отсутствует в помещении.