从服务器管理员接收私钥：好还是不好？

Question

我要访问远程 SFTP 服务器。管理员为我创建了一个用户，并为我生成了一个公钥/私钥对。然后他安全地向我发送了我用于身份验证的私钥文件。我认为这不好，我应该是生成密钥对的人，并将公钥交给他。但是，如果我仅使用此密钥登录该服务器，而不使用其他服务器，我想不出有什么好的理由说明这很糟糕。有没有这样的原因？

Answer 1

正如你所说：公钥认证的整个概念是私钥应该只有所有者知道，而相应的公钥可以广泛传播。身份验证的安全性取决于私钥的安全性，而不是公钥的安全性。

其他人为您提供私钥的事实会自动使其受到损害。（您不知道其他管理员是否还有可用于冒充您的副本。）

Answer 2

对于那个密钥，组织没有不可否认性。IE，如果有人使用“您的”密钥对该系统进行了滥用或破坏性的操作，管理员不能将责任归咎于您全权负责。因为给你的人也有钥匙。这对您来说可能不是那么糟糕，因为它为您提供了防御，但如果发生了不好的事情，那么对于控制服务器的组织来说则是可怕的。

您或许能够使用您从提供的密钥中获得的写入权限来更新您的授权密钥、添加您的密钥以及删除提供的密钥。