Cottura con firmatario remoto compatibile con --require-authentication?

Question

Cottura con firmatario remoto compatibile con --require-authentication?

- 10
- 128 2019-02-16
Per le operazioni client,l'utilizzo di unfirmatario remoto con --require-authentication richiede l'immissionemanuale dellapassword di decrittografia della chiave client.

Non è documentato danessunaparte: èincompatibile con la cottura alforno?Non sono a conoscenza di alcunmodoper decrittografare la chiave del client durante l'impostazione della cotturae presumo che l'autenticazionenon vengaignorataper la cottura.

Grazie

For client ops, using a remote signer with --require-authentication requires manually entering the client key's decryption password.

It's not documented anywhere -- is this incompatible with baking? There's no way that I'm aware of to decrypt the client key when setting up baking and I assume authentication isn't bypassed for baking.

Thanks

baking

- Su alphanetfunziona senzainserire lapasswordper la chiave di autenticazione,main mainnet chiede lapassword sulterminale,ma a causa dell'assenza di qualsiasiterminaleperinserire lapasswordfallisce.Sto anche cercando una risposta a questo.
  
  On alphanet it works without entering the password for the authentication key, but in mainnet it ask for password on terminal, but due to absence of any terminal to enter the password it fails. I am also looking out for an answer to this.
  - 0
  - 2019-02-22
  - Sachin Tomar
- Sebbene siapossibilebypassareilmetodo di autenticazionenon utilizzandoilflag --require-authenticationnel comandotezos-signer.Assicurati di limitare l'accesso al servere allaporta utilizzandoilfirewall seignoriilmetodo di autenticazione.
  
  Although you can bypass the authentication method by not using --require-authentication flag in tezos-signer command. Make sure to restrict access to your server and port using firewall though if you bypass the authentication method.
  - 0
  - 2019-02-25
  - Sachin Tomar

3 risposta

voti

- 3
- 2019-02-25
Sullamainnet ditezos,nonpuoigenerare latua chiavein formanon crittografata.Quindi deviinserire lapasswordper decrittografare la chiave.

La soluzione èimportare una chiavenon crittografatae quindi utilizzarlaper autenticare qualsiasi comunicazione conilfirmatario remoto. Ho usato tezbox wallet pergenerare chiavinon crittografatee quindi copiare la chiaveprivatae importarla sulmio server utilizzandoil comando seguente.

./mainnet.sh clientimport chiave segreta alias autenticazionenon crittografata:edskxxxxxxxxxxxxxTnZR
On tezos mainnet, you cannot generate your key in unencrypted form. So you have to enter the password to decrypt the key.

Solution is to import an unencrypted key and then use is to authenticate any communication with remote-signer. I used tezbox wallet to generate unencrypted keys and then copy the private key and imported to my server using below command.

./mainnet.sh client import secret key auth-alias unencrypted:edskxxxxxxxxxxxxxTnZR
- non èintrinsecamente *pericoloso *generare chiaviprivatenon crittografatee copiarleper un altro server?
  
  isn't it intrinsically *unsafe* to generate an unencrypted unencrypted private keys and copy this around for another server ?
  - 0
  - 2019-02-25
  - Ezy
- Sì,non è sicuro se stai usando questa chiave come chiave di cottura.Ma qui l'unico scopo è quello diessere utilizzato come chiave di autenticazione,ma ovviamente ènecessarioprendereprecauzioni durante la copia della chiaveprivata sul server.Senon desideri copiare la chiaveprivatae desiderigenerare la chiaveprivata solo sul server,puoi utilizzare https://github.com/TezTech/eztz
  
  Yes it is unsafe if you are using this key as baking key. But here the only purpose for this is to be used as authentication key, but obviously precautions need to be taken while copying your private key to the server. If you don't want to copy the private key and want to generate the private key on the server only you can use https://github.com/TezTech/eztz
  - 0
  - 2019-02-25
  - Sachin Tomar
- come si usa semplicementeil libromastro?
  
  how abt simply using ledger ?
  - 1
  - 2019-02-25
  - Ezy
- Sì,l'utilizzo di ledger sarebbeilmodopiù sicuro,manon ho alcunaesperienza con ledger.Qualsiasi documentazioneper questo sarebbe davvero utile.
  
  Yes using ledger would be most secure way but i don't have any experience with ledger. Any documentation for this would be really helpful.
  - 0
  - 2019-02-25
  - Sachin Tomar
- puoi cercare qui su TSE ci sono risposteperiniziare.Adesempio: https://tezos.stackexchange.com/q/395/118e https://tezos.stackexchange.com/q/477/118.Se questonon è sufficiente,sentiti libero difare unanuova domanda!
  
  you can search here on TSE there are answers to get you started. Eg: https://tezos.stackexchange.com/q/395/118 and https://tezos.stackexchange.com/q/477/118 . If this is not sufficient then feel free to ask a new question!
  - 0
  - 2019-02-25
  - Ezy
- Sicuramentenon dovrebbe usare chiavinon crittografate: è un'idea davveroterribile.
  
  Definetly he shouldn't use unencrypted keys - that's a really terrible idea.
  - 1
  - 2019-02-25
  - moonrider_unchained
- Probabilmente è una cattivaidea avere chiavinon crittografate su unamacchina accessibile dalla rete.
  
  It's probably a bad idea to have unencrypted keys on a network-accessible machine.
  - 0
  - 2019-02-26
  - latte_jed
- 1
- 2019-12-04
C'è unmodoper averepiù sicurezza dientrambe le risposte (ad oggi) https://tezos.stackexchange.com/a/607/29 (risposta A)e https://tezos.stackexchange.com/a/598/29 (Risposta B) suggerisce.

Seilfirmatario

accetta solomagicbytes 0x01,0x02,

e ilfirmatario èprotetto dafirewallper accettare solo richieste dall'IP delfornaio

e iltunnel è crittografato (preferibilmente),

è consentito lasciare la chiave di autenticazione delfirmatarionon crittografatanelbaker. Ottieni la comodità della risposta B,ma con la sicurezza aggiuntiva dell'utilizzo di una chiave di autenticazione delfirmatario (risposta A). Nonti protegge da ognipossibilità (almomentonon èpossibilepassare lapassword alpanettiere/endorser,AFAIK anche usando uno di questimetodi ),ma avendo una chiave di autenticazione delfirmatarionon crittografata stai ancoraevitando alcunipotenziali rischi. Adesempio,se unamacchina canaglia ottieneiltuo IP (supponiamo chetu rilasci l'IPpererrore o cheiltuo host stiaerroneamenteiltuo IP),l'attaccantenon sarà comunquein grado difare semplicemente doppiobake/endorse.
Qualcunopotrebbe dire che èpiù lavoroperpocoguadagno,maio sono unpo 'paranoicoe nonmi piaceprendere la stradapiùfacile.

In conclusione,--require-authenticationnon sostituisce altreprecauzioni.
There is a way to have more security than both answers (as of today) https://tezos.stackexchange.com/a/607/29 (Answer A) and https://tezos.stackexchange.com/a/598/29 (Answer B) suggest.

If the signer

only accepts magic bytes 0x01,0x02,

and the signer is firewalled to only accept request from the baker's IP

and the tunnel is encrypted (preferably),

it is ok to leave the unencrypted signer auth key in the baker. You get the convenience of answer B, but with the added security of using a signer auth key (answer A). It doesn't protect you against every possibility (it is not possible at this time to pass the password to the baker/endorser, AFAIK even using one of these methods), but by having an unencrypted signer auth key you are still avoiding some potential risks . For example, if a rogue machine obtains your IP (say you release the IP by accident, or your host misroutes your IP) the attacker still won't be able to even simply double bake/endorse.

Some might say it is more work for little gain, but I am a bit paranoid and don't like to take the easier route.

Bottom line, --require-authentication is not a substitute for other precautions.
- fonte
- Gaia

latte_jed · Accepted Answer · 2019-02-26

2

2019-02-26

Come accennatonei commenti,la rispostapiù corretta è:

No,nonpuoi utilizzare --require-authentication con unfirmatarioper la cottura.Non sonopresenti TTYe non èpossibile decrittografare la chiave di autenticazione quando ènecessarioeseguire un'operazione di approvazione/cottura.

Labestpracticein questo caso consistenell'utilizzare untunnel crittografatotrailfirmatarioe ilpanettieree cheilfirmatarionon sia direttamente accessibile alla rete.