Использование ключа остаётся per-request и под approval.
Private key расшифровывается только для одного signing request и сразу же обнуляется после использования.
$SSH_AUTH_SOCK
SSH Agent Protocol (RFC 4253)
Когда это подходит
Agent path полезен, когда подпись должна быть короткоживущей и auditable.
Подпись на один запрос
Расшифровывайте ключ только для текущего SSH signing request.
Явное подтверждение
Держите человека в loop до того, как подпись будет создана.
Обнуление памяти
Очищайте key material сразу после release, чтобы он не оставался в памяти.
Жизненный цикл ключа
Ключ расшифровывается на каждый запрос и освобождается сразу после подписи. Кэша нет.
Vault
SSH key остаётся зашифрованным at rest внутри vault.
Decrypt
ChromVoid расшифровывает ключ только для signing request.
Sign
Пользователь подтверждает запрос, и создаётся подпись.
Release
Key material обнуляется в памяти сразу после использования.
Границы безопасности
Без key files на диске
Agent не оставляет незашифрованные key files на диске.
Без долгоживущего cache
Между signing requests нет persistent cache.
Явное подтверждение
Signing остаётся gated через осознанное действие пользователя.
Ограничения и scope
Agent намеренно простой и локальный.
- Он фокусируется на одном signing lifecycle, а не на полном SSH orchestration.
- Ключ расшифровывается per request, а не держится горячим в памяти.
- Это не remote key service.
Не key daemon farm
Agent - это локальный approval path для vault-backed SSH key.
Держите SSH signing внутри локального vault-backed approval loop.
Ключ появляется только на время запроса, а затем снова обнуляется сразу после использования.