Hornear con firma remota compatible con --require-authentication?

Question

Hornear con firma remota compatible con --require-authentication?

- 10
- 128 2019-02-16
Para operaciones de cliente,el uso de unfirmante remoto con --require-authentication requiereingresarmanualmente la contraseña de descifrado de la clave del cliente.

Noestá documentadoen ningunaparte. ¿Esestoincompatible con la repostería?No hayforma de que yo sepa descifrar la clave del cliente al configurarel horneado y supongo que la autenticaciónno se omitepara hornear.

Gracias

For client ops, using a remote signer with --require-authentication requires manually entering the client key's decryption password.

It's not documented anywhere -- is this incompatible with baking? There's no way that I'm aware of to decrypt the client key when setting up baking and I assume authentication isn't bypassed for baking.

Thanks

baking

- En alphanetfunciona siningresar la contraseñapara la clave de autenticación,peroen mainnetpide contraseñaen elterminal,pero debido a la ausencia de cualquierterminalparaingresar la contraseñafalla.Tambiénestoybuscando una respuesta aesto.
  
  On alphanet it works without entering the password for the authentication key, but in mainnet it ask for password on terminal, but due to absence of any terminal to enter the password it fails. I am also looking out for an answer to this.
  - 0
  - 2019-02-22
  - Sachin Tomar
- Aunquepuede omitirelmétodo de autenticación alno usar lamarca --require-authenticationen el comandotezos-signer.Sinembargo,asegúrese de restringirel acceso a su servidor ypuertomedianteelfirewall si omiteelmétodo de autenticación.
  
  Although you can bypass the authentication method by not using --require-authentication flag in tezos-signer command. Make sure to restrict access to your server and port using firewall though if you bypass the authentication method.
  - 0
  - 2019-02-25
  - Sachin Tomar

3 respuestas

votos

- 3
- 2019-02-25
En la redprincipal detezos,nopuedegenerar su clave deformano cifrada.Entonces debesingresar la contraseñapara descifrar la clave.

La soluciónesimportar una claveno cifrada y luego usarlapara autenticar cualquier comunicación conelfirmante remoto. Usé billeteratezbox paragenerar clavesno cifradas y luego copié la claveprivada y laimporté ami servidor usandoel siguiente comando.

./mainnet.sh client import secret key auth-alias unencrypted:edskxxxxxxxxxxxxxTnZR
On tezos mainnet, you cannot generate your key in unencrypted form. So you have to enter the password to decrypt the key.

Solution is to import an unencrypted key and then use is to authenticate any communication with remote-signer. I used tezbox wallet to generate unencrypted keys and then copy the private key and imported to my server using below command.

./mainnet.sh client import secret key auth-alias unencrypted:edskxxxxxxxxxxxxxTnZR
- ¿Noesintrínsecamente *inseguro *generar clavesprivadasno cifradas yno cifradas y copiarlaspara otro servidor?
  
  isn't it intrinsically *unsafe* to generate an unencrypted unencrypted private keys and copy this around for another server ?
  - 0
  - 2019-02-25
  - Ezy
- Sí,noes seguro utilizarestatecla comoteclapara hornear.Pero aquíel únicopropósitoparaestoes que se use como clave de autenticación,pero obviamente se debentomarprecauciones al copiar su claveprivadaen el servidor.Sino desea copiar la claveprivada y deseagenerar la claveprivadaen el servidor,solopuede usar https://github.com/TezTech/eztz
  
  Yes it is unsafe if you are using this key as baking key. But here the only purpose for this is to be used as authentication key, but obviously precautions need to be taken while copying your private key to the server. If you don't want to copy the private key and want to generate the private key on the server only you can use https://github.com/TezTech/eztz
  - 0
  - 2019-02-25
  - Sachin Tomar
- ¿Quétanbuenoes simplemente usarel libromayor?
  
  how abt simply using ledger ?
  - 1
  - 2019-02-25
  - Ezy
- Sí,usarel libromayor sería laformamás segura,peronotengoningunaexperiencia conel libromayor.Cualquier documentaciónparaesto sería realmente útil.
  
  Yes using ledger would be most secure way but i don't have any experience with ledger. Any documentation for this would be really helpful.
  - 0
  - 2019-02-25
  - Sachin Tomar
- Puedebuscar aquíen TSE. Hay respuestaspara comenzar.Porejemplo: https://tezos.stackexchange.com/q/395/118 y https://tezos.stackexchange.com/q/477/118.Siestonoes suficiente,¡no dudeen hacer unanuevapregunta!
  
  you can search here on TSE there are answers to get you started. Eg: https://tezos.stackexchange.com/q/395/118 and https://tezos.stackexchange.com/q/477/118 . If this is not sufficient then feel free to ask a new question!
  - 0
  - 2019-02-25
  - Ezy
- Definitivamente,no debería usar claves sin cifrar,esaes unaidea realmenteterrible.
  
  Definetly he shouldn't use unencrypted keys - that's a really terrible idea.
  - 1
  - 2019-02-25
  - moonrider_unchained
- Probablemente sea unamalaideatener claves sin cifraren unamáquina accesibleen red.
  
  It's probably a bad idea to have unencrypted keys on a network-accessible machine.
  - 0
  - 2019-02-26
  - latte_jed
- 1
- 2019-12-04
Hay unaforma detenermás seguridad que ambas respuestas (apartir de hoy) https://tezos.stackexchange.com/a/607/29 (Respuesta A) y https://tezos.stackexchange.com/a/598/29 (Respuesta B) sugiera.

Sielfirmante

solo aceptabytesmágicos 0x01,0x02,

yelfirmantetiene un cortafuegospara aceptar solo solicitudes de la IP delpanadero

yeltúnelestáencriptado (preferiblemente),

Estábien dejar la clave de autenticación delfirmante sin cifraren elpanadero. Obtiene la conveniencia de la respuesta B,pero con la seguridad adicional de usar una clave de autenticación defirmante (respuesta A). No loprotege contratodas lasposibilidades (noesposibleen estemomentopasar la contraseña alpanadero/endosante,AFAIKincluso usando uno deestosmétodos ),pero altener una clave de autenticación defirmante sin cifrar,aúnestáevitando algunos riesgospotenciales. Porejemplo,si unamáquina deshonesta obtiene su IP (digamos que libera la IPpor accidente,o su host desvía su IP),el atacante aúnnopodráni siquiera duplicar/respaldar.

Algunospodrían decir queesmástrabajoporpocobeneficio,pero soy unpocoparanoico ynome gustatomarel caminomásfácil.

Enpocaspalabras,--require-authenticationno sustituye a otrasprecauciones.
There is a way to have more security than both answers (as of today) https://tezos.stackexchange.com/a/607/29 (Answer A) and https://tezos.stackexchange.com/a/598/29 (Answer B) suggest.

If the signer

only accepts magic bytes 0x01,0x02,

and the signer is firewalled to only accept request from the baker's IP

and the tunnel is encrypted (preferably),

it is ok to leave the unencrypted signer auth key in the baker. You get the convenience of answer B, but with the added security of using a signer auth key (answer A). It doesn't protect you against every possibility (it is not possible at this time to pass the password to the baker/endorser, AFAIK even using one of these methods), but by having an unencrypted signer auth key you are still avoiding some potential risks . For example, if a rogue machine obtains your IP (say you release the IP by accident, or your host misroutes your IP) the attacker still won't be able to even simply double bake/endorse.

Some might say it is more work for little gain, but I am a bit paranoid and don't like to take the easier route.

Bottom line, --require-authentication is not a substitute for other precautions.
- fuente
- Gaia

latte_jed · Accepted Answer · 2019-02-26

2

2019-02-26

Como semencionóen los comentarios,la respuestamás correcta aestoes:

No,nopuede usar --require-authentication con unfirmantepara hornear.No hay TTYpresente ynopuede descifrar la clave de autenticación cuandoesnecesarioejecutar una operación de respaldo/horneado.

Lamejorpráctica aquíes utilizar untúnelencriptadoentreelfirmante yelpanadero ypara queelfirmanteno sea directamente accesible a la red.