あなたは他人のインフラの鍵を預かっています
VM Ops Managerはローカルで動作する、エージェント不要の運用ツールです。認証情報はお使いのコンピューター上に留まり、2層構造のvault(保管庫)によって保護されます。
サーバーなし
アカウント、クラウド同期、テレメトリはありません。
エージェントなし
監視には読み取り専用のSSHプローブを1つだけ使用します。
自動での鍵読み取りなし
秘密鍵は意図的に指定された場合にのみ使用され、~/.sshから自動的に読み取られることはありません。
Vaultの内部構造
パスワード由来の鍵
Argon2idがマスターパスワードからKEK(鍵暗号化鍵)を導出します。ソルトとパラメーターはvaultと共に保存されます。
データ暗号化鍵
別途生成されたランダムなDEK(データ暗号化鍵)が認証情報を暗号化し、KEKによってラップされます。
認証付き暗号化
AES-256-GCMは操作のたびに新しいnonceを使用し、改ざんを検知します。
鍵のローテーション
マスターパスワードを変更すると、DEKがローテーションされ、認証情報が1つのトランザクションで再暗号化されます。
OSキーチェーン
自動ロック解除のためにプラットフォームのキーチェーンにキャッシュできるのはDEKのみです。
平文の生存期間
プラットフォームが許可する場合、シークレットは接続確立後にゼロクリアされます。
これが保護しないもの
- 侵害されたコンピューターは、ロック解除された状態のvaultにアクセスできてしまいます。
- 画面ロックはウィンドウを隠すだけで、vaultをロックしたり監視を停止したりはしません。
- 忘れたマスターパスワードを復元することはできません。
- これは単一ユーザー向けのツールであり、共有アクセス制御や独立したセキュリティ監査は現時点ではありません。