SSH-sleutel gekopieer of agent aangestuur? Twee verskillende risiko's

'n Aanmelding wat deur 'n VPN van 'n SSH-sleutel gebruik maak, beteken nie dat die private sleutel aan die netwerkoperateur oorhandig is nie, en daardie gerusstelling is smaller as wat mense dit hoor. Openbare-sleutel-verifikasie stuur 'n openbare sleutel en 'n handtekening wat die kliënt plaaslik skep. Agent-aanstuur is 'n ander reëling met 'n ander blootstelling, en dit kan 'n bruikbare verifikasiemoglikheid op 'n masjien laat wat jy nie beheer nie. Die reaksie wat jy verskuldig is, hang daarvan af watter van die twee werklik gebeur het.

Wat openbare-sleutel-verifikasie stuur

In die standaard openbare-sleutelmetode bied die kliënt 'n openbare sleutel aan, die bediener besluit of hy daardie sleutel aanvaar, en die kliënt onderteken 'n uitdaging met die private sleutel, wat in sy lêer of sy agent bly. Wat oor die netwerk gaan, is die openbare sleutel en die gevolglike handtekening. Niks in daardie uitruiling vereis dat die bediener, die tonnel of enigiemand op die pad die private materiaal hou nie.

Die verifikasiespesifikasie definieer daardie bewys, en die private sleutel is nie 'n veld in die versoek nie.

Dit is 'n stelling oor 'n protokol, nie 'n karakterverwysing vir elke betrokke eindpunt nie. Gasheeridentiteit-kontrole moet steeds ongeskonde wees, want 'n bediener wat nie kan bewys wie hy is nie, versamel dalk handtekeninge vir 'n doel wat jy nie bedoel het nie. 'n Gehuurde VM, 'n geërfde bastion en 'n skootrekenaar met 'n onbekende uitbreiding is drie afsonderlike vertrouensvrae. Hou hulle apart van die kriptografiese een, wat werklik besleg is.

Wat agent-aanstuur delegeer

Agent-aanstuur open 'n kanaal van die afgeleë gasheer terug na die agent op jou masjien, sodat prosesse op daardie gasheer die agent kan vra om te onderteken sonder om ooit die private sleutel te hou. Die sleutel bly waar dit is, en die vermoë nie. Enigiets wat daardie aangestuurde sok aan die afgeleë gasheer kan bereik, vir die lewe van die sessie, kan verifikasiebewerkings as een van die gelaaide identiteite aanvra. Dit is gedelegeerde gesag, wat is waarom aanstuur 'n smaller beleid verdien as om 'n openbare sleutel oor te handig.

'n Gekopieerde sleutellêer is 'n openbaarmaking. 'n Aangestuurde agent is 'n toestemming, en die twee het verskillende antwoorde nodig.

Aktiveer aanstuur vir 'n genoemde behoefte en genoemde gashere, en kontroleer wat die kliënt werklik doen eerder as wat die konfigurasie blyk te sê. Effektiewe instellings is wat saak maak, want 'n gasheerblok oorheers stilweg 'n globale verstek. Dieselfde redenasie geld aan die bedienerkant, wat aanstuur heeltemal kan weier wanneer die ontplooiing dit nooit nodig het nie.

Lees die bewyse voordat jy 'n reaksie kies

As 'n private sleutellêer of 'n ekwivalente ondertekeningsidentiteit vermoedelik blootgestel is, is die reaksie vervanging en herroeping deur jou organisasie se proses, plus verwydering van sy aanvaarding by elke diens wat dit vertrou het. Die uitvee van een plaaslike kopie maak nie die kopieë wat jy nie kan sien nie, ongeldig nie.

As die bekommernis tydelike agent-toegang is, is die reaksie smaller: stop die onnodige delegasie, hersien die sessies en identiteite betrokke, en laat die insident-eienaar besluit of vervanging geregverdig is. Bewyse maak hier saak, want geen waargenome uitvoer bewys nie dat geen verifikasie misbruik is nie, en 'n padverandering alleen is nie 'n diagnose van 'n gesteelde sleutel nie. Skryf neer watter komponent vertrou is, of aanstuur geaktiveer was, en wat werklik waargeneem is. Kies dan die reaksie wat by daardie rekord pas, eerder as die mees dramatiese beskikbare.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Voer dié uit voor en ná 'n verandering sodat die vergelyking iets beteken. 'n Sessie wat vroeër gevestig is, behou die delegasie wat dit gekry het, ongeag wat die instellings nou sê.

Twee kontroles wat nie uitruilbaar is nie

Die beskerming van private materiaal, die beperking van wie kan vra dat dit onderteken, en die verifikasie van eweknie-identiteit is drie verwante kontroles, en nie een vervang 'n ander nie. 'n Span wat aanstuur verwyder sonder om gasheersleutels na te gaan, het die helfte van 'n probleem reggemaak. 'n Span wat 'n sleutel roteer omdat die roete verander het, het niks reggemaak nie.

'n Gekompromitteerde eindpunt is 'n vierde vraag, want bevoorregte sagteware op jou eie masjien kan aansienlik meer doen as om pakkette waar te neem.

Sorteer die insident in daardie kategorieë voordat jy enigiets aanraak, en gee elkeen 'n eienaar. Hou 'n kort rekord van wat vertrou is, wat gedelegeer is en wat geverifieer is, want daardie rekord is wat die volgende hersiening goedkoop maak in plaas van nog 'n debat. As enige kategorie onbekend is, skryf onbekend eerder as om die goedaardige geval te aanvaar. Die onderskeid is prakties eerder as akademies: dit bepaal of jy 'n geloofsbrief vervang, 'n sessie herroep, of bloot ophou aanstuur.