Keypairs y firma

kovra puede custodiar un keypair asimétrico: genera la clave, sella la mitad privada bajo la master key del vault y nunca escribe la clave privada en disco ni la imprime. Se opera a través de kovra — firmando, verificando, cifrando, descifrando — sin que la clave privada salga jamás del vault.

Windows · Beta

Windows está en Beta — estos comandos de kovra son idénticos. La única diferencia es la conexión del shell: en PowerShell, redirigir la salida binaria (sig.bin, ct.bin) desde cmd.exe, o canalizar con Set-Content <file> -AsByteStream (PowerShell 7+), para que los bytes no se corrompan.

Generar un keypair

kovra keygen crea la clave y muestra solo la mitad pública. Elegir ed25519 (firma y cifrado) o rsa (solo firma/SSH):

macOS

zsh

~ % kovra keygen secret:dev/ssh/deploy --type ed25519
Generated dev/ssh/deploy (ed25519, Medium).
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDnM/+Nl+/2Y/uEZNK5Q7ZEdQEMmOGXB6PTQg2hWJaSw

Windows

PowerShell

PS> kovra keygen secret:dev/ssh/deploy --type ed25519
Generated dev/ssh/deploy (ed25519, Medium).
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDnM/+Nl+/2Y/uEZNK5Q7ZEdQEMmOGXB6PTQg2hWJaSw

La entrada se lista con un modo tipado de keypair:ed25519. Reimprimir la clave pública en cualquier momento — esto es gratis y nunca pide confirmación:

macOS

zsh

~ % kovra pubkey secret:dev/ssh/deploy
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDnM/+Nl+/2Y/uEZNK5Q7ZEdQEMmOGXB6PTQg2hWJaSw

Windows

PowerShell

PS> kovra pubkey secret:dev/ssh/deploy
ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAIDnM/+Nl+/2Y/uEZNK5Q7ZEdQEMmOGXB6PTQg2hWJaSw

Firmar y verificar

kovra sign firma datos desde un archivo o desde stdin; la firma va a stdout. kovra verify la comprueba. Firmar con una clave high/prod pide hacer bioProve; verificar es siempre gratis:

macOS

zsh

~ % printf 'release v1.2.3' | kovra sign secret:dev/ssh/deploy > sig.bin

Windows

PowerShell

PS> 'release v1.2.3' | kovra sign secret:dev/ssh/deploy > sig.bin

macOS

zsh

~ % printf 'release v1.2.3' | kovra verify secret:dev/ssh/deploy --signature sig.bin
OK: signature is valid

Windows

PowerShell

PS> 'release v1.2.3' | kovra verify secret:dev/ssh/deploy --signature sig.bin
OK: signature is valid

La verificación también funciona contra una entrada solo-pública — la clave pública de un par que se almacenó con kovra add --public-key (no contiene mitad privada), de modo que se pueden verificar las firmas de un colega sin su clave privada.

Cifrar y descifrar

Para un keypair ed25519, kovra también puede cifrar hacia la clave pública y descifrar con la clave privada (una caja sellada basada en age). Cifrar es gratis; descifrar con una clave high/prod pide hacer bioProve:

macOS

zsh

~ % printf 'a short secret note' | kovra encrypt secret:dev/ssh/deploy > ct.bin

Windows

PowerShell

PS> 'a short secret note' | kovra encrypt secret:dev/ssh/deploy > ct.bin

macOS

zsh

~ % kovra decrypt secret:dev/ssh/deploy ct.bin
a short secret note

Windows

PowerShell

PS> kovra decrypt secret:dev/ssh/deploy ct.bin
a short secret note

Los keypairs RSA firman y verifican (y funcionan como claves SSH) pero no soportan cifrado — usar ed25519 cuando se necesite sellado.

Por qué esto importa

La clave privada se genera dentro del vault y nunca se materializa en disco ni en el shell. Un agente o un script puede pedirle a kovra que use la clave — firmar un release, abrir un mensaje sellado — pero no puede exfiltrarla, y cada uso de una clave sensible queda gobernado y auditado. Para cargar una clave en una sesión SSH, ver el ssh-agent gobernado.