Mozilla SOPS多签模式下私钥安全、远程操作及配置变更技术问询

一、3选2多签场景下的私钥安全协作流程 #

核心原则是私钥绝对不跨设备传输，所有密钥操作仅在持有者本地完成，具体协议如下：

• 发起者（如Alice）获取加密的SOPS配置文件，通过内部加密共享盘或Git仓库共享给Bob
• Alice在本地执行sops -d encrypted-config.yaml，SOPS会检测到需要2个签名，自动调用Alice的本地PGP私钥完成第一重解密，生成部分解密文件（该文件仍处于加密状态，仅完成了第一重签名验证）
• Alice将部分解密文件通过加密通道发送给Bob
• Bob在本地执行sops -d partial-decrypted-config.yaml，调用自己的本地PGP私钥完成第二重解密，得到完整明文配置
• Bob修改配置后，执行sops -e modified-config.yaml重新加密（SOPS会自动读取sops.yaml中的3选2规则，用Alice和Bob的公钥完成加密）
• Bob将新的加密文件发回给Alice确认，双方校验无误后推送到版本控制系统或共享存储

安全保障：

• 私钥始终存储在各自本地设备，不会暴露给对方
• 部分解密文件无法单独获取完整明文，必须两个私钥共同参与才能解锁
• 所有文件传输均通过加密通道完成，避免中间被窃取

二、远程办公（RDP/Citrix）场景下的解密与更新流程 #

推荐采用私钥本地存储+远程工作机仅传输加密/部分解密文件的方案，流程如下：

1. Alice通过加密的RDP/Citrix连接登录工作机，将加密的SOPS文件下载到自己的本地设备
2. Alice在本地用自己的PGP私钥完成第一重解密，生成部分解密文件
3. Alice将部分解密文件上传回工作机，通知Bob操作
4. Bob同样通过加密远程连接登录工作机，下载部分解密文件到本地设备
5. Bob在本地用自己的PGP私钥完成完全解密，修改配置后重新加密
6. Bob将新的加密文件上传回工作机，Alice验证内容无误后，提交到指定的存储或版本控制系统

注意事项：

• 禁止在远程工作机上存储任何PGP私钥或明文密码
• 远程连接必须启用加密（如RDP开启SSL加密、Citrix使用ICA加密协议）
• 本地设备需开启磁盘加密、锁屏密码等安全防护措施

三、5选3多签配置的协议变化与可行性 #

协议变化 #

几乎无显著变化，核心逻辑仍然是私钥本地操作+部分解密文件依次传递，仅需调整参与解密的人数：

1. 第一个用户完成部分解密后，传递给第二个用户
2. 第二个用户完成后传递给第三个用户
3. 第三个用户完成解密后得到完整明文
4. 修改后重新加密时，SOPS会自动应用5选3的阈值规则，用配置的5个公钥完成加密

可行性 #

完全可行，SOPS原生支持多签阈值配置，只需在sops.yaml中指定5个PGP公钥，并设置threshold: 3即可。这种配置适合敏感度更高的场景，能进一步降低单密钥泄露带来的风险，唯一的trade-off是协作流程需要协调3个用户参与，相对繁琐一些。

内容的提问来源于stack exchange，提问作者Alex K