Основные концепции
Участники
| Рол ь | Кто это | Что делает |
|---|---|---|
| Владелец / Администратор | Владелец инстанса или администратор с достаточными правами | Настраивает контур: создаёт аккаунт восстановления, раздаёт доли, подключает аккаунт к политике доступа |
| Аккаунт восстановления | Сервисный аккаунт или обычный пользователь (в зависимости от редакции) | Хранит секрет, разделённый на доли; при восстановлении используется для выдачи прав администратора в сейфе |
| Держатели долей | Любые доверенные люди — необязательно пользователи Пассворка | Хранят по одной доле; при инциденте передают её оператору |
| Оператор восстановления | Тот, кто проводит церемонию восстановления | Собирает кворум долей и выполняет процедуру выдачи доступа |
Держателям не нужны учётные записи в Пассворке — доля представляет собой файл, никак не связанный с пользователями системы.
Два варианта в зависимости от редакции
Сервисный аккаунт (Расширенная редакция)
- Что делится на доли — мастер-ключ аккаунта.
- Интерактивный вход у аккаунта — отсутствует, аутентификация только по API-токену.
- Настройка — автоматизирована
passwork-cli users create-service-account. - Восстановление — автоматизировано
passwork-cli recovery grant-admin. - Лицензия — флаг «Сервисные аккаунты» (Расширенная редакция).
Обычный пользователь (любая редакция)
- Что делится на доли — мастер-пароль (или производный мастер-ключ) аккаунта.
- Интерактивный вход у аккаунта — есть, как у обычного пользователя.
- Настройка — выполняется вручную: создание пользователя через продукт +
passwork-cli shamir split. - Восстановление — выполняется вручную:
passwork-cli shamir recover+ вход под восстановленным паролем и выдача доступа штатными средствами. - Лицензия — не требуется.
Подробно про сервисный аккаунт — в разделе Настройка сервисного аккаунта, про ручной вариант — в разделе Упрощённый вариант без сервисных аккаунтов. Дальше на этой странице понятия — общие для обоих вариантов, если не указано иное.
Порог M из N
Секрет делится на N долей так, что для восстановления достаточно любых M из них (2 ≤ M ≤ N ≤ 16). Меньше M долей — секрет восстановить невозможно, даже если у вас M − 1 корректных долей. Любые M долей из корректного набора дают тот же исходный секрет, независимо от того, какие именно M выбраны.
Порог выбирает Владелец при настройке, исходя из числа держателей и приемлемого риска:
| Схема | Смысл |
|---|---|
| 3 из 5 | Устойчива к недоступности до 2 держателей одновременно |
| 2 из 3 | Минимальная схема с кворумом больше одного человека |
| 5 из 9 | Для крупных организаций с распределённой ответственностью |
Два разных RSA-ключа — не путайте их
Независимо от варианта, доли по желанию можно шифровать под персональный ключ каждого держателя. Здесь используются два независимых назначения RSA, и путаница между ними — частая ошибка:
| RSA Пассворка | RSA держателя | |
|---|---|---|
| Назначение | Шифрование ключей сейфов при выдаче доступа | Шифрование одной доли для конкретного держателя |
| Размер ключа | 2048 бит | 4096 бит |
| Где создаётся | Автоматически внутри продукта при создании аккаунта | Каждым держателем через passwork-cli rsa gen-keys |
| Кто владеет приватным ключом | Аккаунт восстановления (приватный ключ зашифрован его же мастер-ключом) | Держатель — хранит на своей машине, никому не передаёт |
RSA держателя не имеет отношения к криптографии Пассворка — это инструментальная пара только для того, чтобы каждый держатель мог получить свою долю в зашифрованном виде и расшифровать её только у себя.
Клиентское шифрование — обязательное условие для обоих вариантов
Оба варианта имеют смысл только при включённом клиентском шифровании (Zero-Knowledge): без него сервер и так может выдать доступ штатными административными средствами, и восстанавливать через Шамира нечего. В автоматизированном варианте на сервисном аккаунте это ещё и проверяется явно: passwork-cli users create-service-account --m/--n и recovery grant-admin завершатся с кодом 7, если клиентское шифрование выключено.