Dotaz: Kopie OpenPGP klíče z jedné smart karty na druhou

[pavele]

Vygeneroval jsem si offline 3 OpenPGP klíče na šifrování, podepisování a autentizaci. Tyto jsem přenesl do tokenu. Veřejný klíč jsem převedl přes gpgkey2ssh na OpenSSH klíč a ten přenesl na vzdálený PC.

Všechno funguje (přihlašování přes smart kartu).

Zkusil jsem přenést klíče znovu do druhé smart karty, vše proběhlo dobře, ale autentizace druhou kartou nefunguje.

Je vůbec možné mít dvě stejné smart karty (se stejnými klíči)? Nebo je to vlastnost tokenů, že to nejde?

První token (který funguje) je K30 Gemalto, druhý Yubiko Neo.

Odpovědi

[NN]

Rekl bych, ze je mozne mit identickou kopii privatniho klice, ulozenou na dvou kartach. Tipuji, problem bude jinde.

[pavele]

Je to zajímavé, převedl jsem všechny veřejné PGP klíče z druhého tokenu na openssh formát a uložil na vzdálené PC.

Mezi klíči je jeden naprosto shodný s již dříve přidaným klíčem z prvního tokenu. Tak nevím.

[Ilmarinen]

IMHO se ověřuje i Serial number toho tokenu. Zkus si porovnat tuto hodnotu ve výstupu gpg --card-status s prvním a druhým tokenem.

[pavele]

Serial number se u obou tokenů liší. Pokud se ověřuje, tak je to problém, protože to zřejmě změnit nepůjde. Ovšem není problém mít nainstalovaný druhý klíč pro druhý token.

Legrace je, že v oldoldstable Debianu mi vše funguje - oba tokeny se zobrazí po příkazu gpg --card-status, při ssh-přihlašování se zobrazí pinentry a po zadání hesla tokenu se přihlásím.

V tom zatraceném enterprise klonu RedHatu CentOS 6 jsem se dopracoval k tomu, že se mi oba tokeny zobrazí/fungují po příkazu gpg --card-status/edit.

A to je vše. Při ssh-přihlašování se zobrazí:

Permission denied (publickey,gssapi-keyex,gssapi-with-mic).

Gpg-agent se vůbec nespustí po přihlášení do grafického prostředí a pokud ho spustím ručně:

gpg-agent --enable-ssh-support ---use-standard-socket,

nezobrazí se při ssh-přihlašování pinentry z tokenu, jako by gpg-agent token vůbec neviděl.