هل نُسخ مفتاح SSH أم أُعيد توجيه الوكيل؟ خطران مختلفان

تسجيل الدخول الذي يستخدم مفتاح SSH عبر VPN لا يعني أن المفتاح الخاص سُلِّم إلى مشغّل الشبكة، وهذا الطمأنة أضيق مما يسمعه الناس. ترسل مصادقة المفتاح العام مفتاحاً عاماً وتوقيعاً يُنتجه العميل محلياً. إعادة توجيه الوكيل ترتيب مختلف بتعرّض مختلف، وقد تترك قدرة مصادقة قابلة للاستخدام على جهاز لا تتحكم فيه. والاستجابة التي عليك تعتمد على أيّ الأمرين وقع فعلاً.

ما الذي ترسله مصادقة المفتاح العام

في طريقة المفتاح العام القياسية يعرض العميل مفتاحاً عاماً، ويقرر الخادم ما إذا كان يقبل ذلك المفتاح، ويوقّع العميل تحدياً بالمفتاح الخاص الذي يبقى في ملفه أو في وكيله. وما يعبر الشبكة هو المفتاح العام والتوقيع الناتج. ولا شيء في ذلك التبادل يتطلب أن يحتفظ الخادم أو النفق أو أي أحد على المسار بالمادة الخاصة.

تحدد مواصفة المصادقة ذلك الإثبات، والمفتاح الخاص ليس حقلاً في الطلب.

هذا تصريح عن بروتوكول، لا شهادة سلوك لكل طرف نهائي مشارك. لا بد أن يبقى التحقق من هوية المضيف سليماً، لأن خادماً لا يستطيع إثبات هويته قد يجمع التوقيعات لغرض لم تقصده. وآلة افتراضية مستأجرة وخادم معقل موروث وحاسوب محمول يشغّل إضافة غير مألوفة هي ثلاثة أسئلة ثقة منفصلة. أبقِها منفصلة عن السؤال التشفيري، الذي حُسم فعلاً.

ما الذي يفوّضه إعادة توجيه الوكيل

تفتح إعادة توجيه الوكيل قناة من المضيف البعيد عائدة إلى الوكيل على جهازك، حتى تستطيع العمليات على ذلك المضيف أن تطلب من الوكيل التوقيع دون أن تحمل المفتاح الخاص أبداً. يبقى المفتاح حيث هو، ولا تبقى القدرة. وأي شيء يستطيع الوصول إلى ذلك المقبس المعاد توجيهه على المضيف البعيد، طوال حياة الجلسة، يمكنه طلب عمليات مصادقة باسم إحدى الهويات المحمّلة. هذه سلطة مفوَّضة، ولهذا تستحق إعادة التوجيه سياسة أضيق من تسليم مفتاح عام.

ملف مفتاح منسوخ إفصاح. والوكيل المعاد توجيهه منح، والاثنان يحتاجان إجابتين مختلفتين.

فعّل إعادة التوجيه لحاجة محددة ومضيفين محددين، وتحقق مما يفعله العميل فعلاً بدلاً مما يبدو أن الإعدادات تقوله. الإعدادات الفعلية هي المهمة، لأن كتلة مضيف تتجاوز بهدوء إعداداً عاماً افتراضياً. وينطبق المنطق نفسه على طرف الخادم، الذي يمكنه رفض إعادة التوجيه كلياً عندما لا يحتاج النشر إليها أبداً.

اقرأ الأدلة قبل اختيار الاستجابة

إذا اعتُقد أن ملف مفتاح خاص أو هوية توقيع مكافئة قد انكشفت، فالاستجابة هي الاستبدال والإلغاء عبر عملية مؤسستك، وإضافة إلى ذلك إزالة قبوله من كل خدمة وثقت به. حذف نسخة محلية واحدة لا يبطل النسخ التي لا تراها.

إذا كان القلق يتعلق بوصول مؤقت للوكيل، فالاستجابة أضيق: أوقف التفويض غير الضروري، وراجع الجلسات والهويات المعنية، ودع مالك الحادث يقرر ما إذا كان الاستبدال مبرراً. الأدلة مهمة هنا، لأن عدم ملاحظة تصدير لا يثبت عدم إساءة استخدام أي مصادقة، وتغير المسار وحده ليس تشخيصاً لمفتاح مسروق. سجّل أي مكوّن كان موثوقاً، وهل كانت إعادة التوجيه مفعّلة، وما الذي لوحظ فعلاً. ثم اختر الاستجابة التي تناسب ذلك السجل بدلاً من أكثرها إثارة.

ssh-add -l
ssh -G host.example | grep -i forwardagent

شغّل تلك الأوامر قبل تغيير وبعده ليكون للمقارنة معنى. الجلسة التي أُنشئت سابقاً تحتفظ بالتفويض الذي مُنح لها، مهما قالت الإعدادات الآن.

ضوابط لا يمكن تبادلها

حماية المادة الخاصة، وتحديد من يمكنه طلب توقيعها، والتحقق من هوية النظير، ثلاثة ضوابط مترابطة، ولا يغني أي منها عن الآخر. فريق يزيل إعادة التوجيه دون فحص مفاتيح المضيف أصلح نصف مشكلة. وفريق يدوّر مفتاحاً لأن المسار تغيّر لم يصلح شيئاً.

الطرف النهائي المخترق سؤال رابع، لأن البرمجيات ذات الامتيازات على جهازك يمكنها أن تفعل أكثر بكثير من مراقبة الحزم.

صنّف الحادث في تلك الفئات قبل أن تلمس أي شيء، وأعطِ كل واحدة مالكاً. احتفظ بسجل قصير لما كان موثوقاً، وما فُوِّض، وما جرى التحقق منه، لأن ذلك السجل هو ما يجعل المراجعة التالية رخيصة بدلاً من جدال آخر. إذا كانت أي فئة مجهولة، اكتب «مجهول» بدلاً من افتراض الحالة الحميدة. والتمييز عملي لا أكاديمي: فهو يقرر ما إذا كنت تستبدل اعتماداً، أو تلغي جلسة، أو تتوقف ببساطة عن إعادة التوجيه.