Cozimento com o assinante remoto compatível com a autenticação --require?

Question

Cozimento com o assinante remoto compatível com a autenticação --require?

- 10
- 128 2019-02-16
Para o cliente OPS,usando um signatário remoto com - Require-Authentication Requerinstruirmanualmente a senha da decodificação da chave do cliente.

Não é documentadoem qualquer lugar -isso éincompatível com o cozimento?Não há comoeuestou ciente de descriptografar a chave do cliente ao configurar o cozimentoe eu suponho que a autenticaçãonão sejaignoradapor assar.

obrigado

For client ops, using a remote signer with --require-authentication requires manually entering the client key's decryption password.

It's not documented anywhere -- is this incompatible with baking? There's no way that I'm aware of to decrypt the client key when setting up baking and I assume authentication isn't bypassed for baking.

Thanks

baking

- No Alphanet,funciona seminserir a senhapara a chave de autenticação,masno Mainnet solicita a senhanoterminal,mas devido à ausência de qualquerterminalparainserir a senha quefalha.Eutambémestou olhandopara uma respostaparaisso.
  
  On alphanet it works without entering the password for the authentication key, but in mainnet it ask for password on terminal, but due to absence of any terminal to enter the password it fails. I am also looking out for an answer to this.
  - 0
  - 2019-02-22
  - Sachin Tomar
- Embora vocêpossa contornar ométodo de autenticação,não usando o sinalizador de autenticaçãoem tezos-signatário.Certifique-se de restringir o acesso ao seu servidore porta usando ofirewall,embora vocêignore ométodo de autenticação.
  
  Although you can bypass the authentication method by not using --require-authentication flag in tezos-signer command. Make sure to restrict access to your server and port using firewall though if you bypass the authentication method.
  - 0
  - 2019-02-25
  - Sachin Tomar

3 respostas

votos

- 3
- 2019-02-25
No Tezos Mainnet,vocênãopodegerar sua chavenoformulárionão criptografado.Então vocêtem queinserir a senhapara descriptografar a chave.

Solução éimportar uma chavenão criptografadae,em seguida,usar é autenticar qualquer comunicação com o signatário remoto. Eu usei Tezebox wallet Paragerar chavesnão criptografadase copiar a chaveprivadae importadapara omeu servidor usando o comando abaixo.

./mainnet.sh client import secret key auth-alias unencrypted:edskxxxxxxxxxxxxxTnZR
On tezos mainnet, you cannot generate your key in unencrypted form. So you have to enter the password to decrypt the key.

Solution is to import an unencrypted key and then use is to authenticate any communication with remote-signer. I used tezbox wallet to generate unencrypted keys and then copy the private key and imported to my server using below command.

./mainnet.sh client import secret key auth-alias unencrypted:edskxxxxxxxxxxxxxTnZR
- Não éintrinsecamente *inseguro *paragerar uma chavesprivadasnão criptografadase copiarissopor outro servidor?
  
  isn't it intrinsically *unsafe* to generate an unencrypted unencrypted private keys and copy this around for another server ?
  - 0
  - 2019-02-25
  - Ezy
- Sim,éinseguro se vocêestiver usandoessa chave como a chave de cozimento.Mas aqui o único objetivoparaisso é ser usado como chave de autenticação,mas obviamenteprecauçõesprecisam sertomadas ao copiar sua chaveprivadapara o servidor.Se vocênão quiser copiar a chaveprivadae desejagerar a chaveprivadano servidor,sópode usar https://github.com/teztech/eztz
  
  Yes it is unsafe if you are using this key as baking key. But here the only purpose for this is to be used as authentication key, but obviously precautions need to be taken while copying your private key to the server. If you don't want to copy the private key and want to generate the private key on the server only you can use https://github.com/TezTech/eztz
  - 0
  - 2019-02-25
  - Sachin Tomar
- Quetal simplesmente usar o Ledger?
  
  how abt simply using ledger ?
  - 1
  - 2019-02-25
  - Ezy
- Sim,usando o Ledger seria o caminhomais seguro,masnãotenhoexperiência com razão.Qualquer documentaçãoparaisso seria realmente útil.
  
  Yes using ledger would be most secure way but i don't have any experience with ledger. Any documentation for this would be really helpful.
  - 0
  - 2019-02-25
  - Sachin Tomar
- Vocêpodepesquisar aquino TSE há respostaspara você começar.Porexemplo: https://tezos.stackexchange.com/q/395/118e https://tezos.stackexchange.com/q/477/118.Seissonão é suficiente,então sinta-se à vontadeparafazer umanovapergunta!
  
  you can search here on TSE there are answers to get you started. Eg: https://tezos.stackexchange.com/q/395/118 and https://tezos.stackexchange.com/q/477/118 . If this is not sufficient then feel free to ask a new question!
  - 0
  - 2019-02-25
  - Ezy
- Definitivamenteelenão deve usar chavesnão criptografadas -essa é umaideiamuitoterrível.
  
  Definetly he shouldn't use unencrypted keys - that's a really terrible idea.
  - 1
  - 2019-02-25
  - moonrider_unchained
- Éprovavelmente umamáideiater chavesnão criptografadasem umamáquina acessívelem rede.
  
  It's probably a bad idea to have unencrypted keys on a network-accessible machine.
  - 0
  - 2019-02-26
  - latte_jed
- 1
- 2019-12-04
Há umamaneira determais segurança do que as duas respostas (apartir de hoje) https://tezos.stackexchange.com/a/607/29 (Resposta a)e https://tezos.stackexchange.com/a/598/29 (respostab) sugerir.

Se o signatário

só aceitabytesmágicos 0x01,0x02,

e o signatário éfirewallpara aceitar apenas opedido do IP do Baker

e otúnel é criptografado (depreferência),

É OK deixar a chave de autenticação do signatárionão criptografadonopadeiro. Você obtém a conveniência da resposta B,mas com a segurança adicional de usar uma chave de autenticação do signatário (responda a). Nãoprotege você contratodas aspossibilidades (não épossívelnestemomentopassar a senhapara o Baker/Endosser,afaikmesmo usando
https://tezos.stackexchange.com/a/607/29 (Answer A) and https://tezos.stackexchange.com/a/598/29 (Answer B) suggest.

If the signer

only accepts magic bytes 0x01,0x02,

and the signer is firewalled to only accept request from the baker's IP

and the tunnel is encrypted (preferably),

it is ok to leave the unencrypted signer auth key in the baker. You get the convenience of answer B, but with the added security of using a signer auth key (answer A). It doesn't protect you against every possibility (it is not possible at this time to pass the password to the baker/endorser, AFAIK even using one of these methods), but by having an unencrypted signer auth key you are still avoiding some potential risks . For example, if a rogue machine obtains your IP (say you release the IP by accident, or your host misroutes your IP) the attacker still won't be able to even simply double bake/endorse.

Some might say it is more work for little gain, but I am a bit paranoid and don't like to take the easier route.

Bottom line, --require-authentication is not a substitute for other precautions.
- fonte
- Gaia

latte_jed · Accepted Answer · 2019-02-26

2

2019-02-26

Comotocadoem comentários,a respostamais corretaparaisso é:

Não,vocênãopode usar - Require-Authentication com um signatáriopara assar.Não hánenhumpresentee vocênãopode descriptografar a chave de autenticação quando uma operação deendosso/cozimentoprecisa serexecutada.

Asmelhorespráticas aqui é usar umtúnel criptografadoentre o signatárioe opadeiroe para o signatárionão serem diretamente acessíveis à rede.