SSH agent yönləndirməsi və açarın kopyalanması: həqiqətən nə sızır

İki fərqli hadisə sızmış SSH açarı adlanır və onlar fərqli reaksiya tələb edir. Açıq açar autentifikasiyası açıq açarı və şəxsi açarla hazırlanmış imzanı göndərir, buna görə şəxsi açar heç vaxt sorğunun sahəsi olmur. Agent yönləndirməsi isə başqa şeyi açıq qoyur, çünki yönləndirilmiş agentinizə çata bilən uzaq host ondan açarı heç vaxt tutmadan imzalamağı xahiş edə bilər. Bu ikisini bir hadisə kimi qəbul etmək ya faydasız açar dəyişməsinə, ya da işlək qalan bir nümayəndəliyə gətirib çıxarır.

Açıq açar ilə giriş açarı deyil, imza ötürür

Autentifikasiya mübadiləsi istifadəçinin açıq açarını və sessiya məlumatları üzərində imzanı daşıyır. Server bu imzanı artıq etibar etdiyi açarla yoxlayır, buna görə şəxsi hissə etibarsız şəbəkə boyunca klientdə qala bilər. Tuneli izləyən VPN operatoru hər iki halda şifrələnmiş SSH sessiyası görür.

Bu, protokolu təsvir edir, yoldakı hər son nöqtənin etibarlılığını yox. Host şəxsiyyətinin yoxlanmasını toxunulmaz saxlayın, çünki istənilən host açarını qəbul edən klient müzakirə olunandan fərqli bir nəzarətdən əl çəkmiş olur. Ələ keçirilmiş sessiya və ələ keçirilmiş açar ayrı tapıntılardır və onlardan yalnız biri etimad məlumatının itkisidir. Hesabatda da ikisini ayrı cümlələrdə saxlayın.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Birinci əmr açıq barmaq izini çap edir ki, onu serverin sadaladığı ilə müqayisə edəsiniz. İkinci əmr heç kimin oxumadığı standart dəyərə güvənmək əvəzinə host açarı yoxlamasını açıq edir. Açarlarla bağlı hər hansı dəyişiklik etməzdən əvvəl hər ikisini işə salın ki, başlanğıc vəziyyət sənədləşsin.

Agent yönləndirməsi imzalama qabiliyyətini həvalə edir

Yönləndirmə aktiv olduqda uzaq hostda bir soket yaranır və yerli agent ondan gələn sorğuları cavablandırır. Sessiya boyunca həmin soketdən istifadə edə bilən hər kəs yüklənmiş şəxsiyyətləri qəbul edən hostlarda sizin adınızdan autentifikasiya edə bilər. Bunun işləməsi üçün şəbəkədən heç bir şəxsi açar keçmir.

Məruz qalan fayl deyil, qabiliyyətdir. Buna görə yönləndirmə noutbukun etdiyi hər bağlantıya deyil, adlandırılmış tapşırığa və adlandırılmış hosta aiddir. Bağlantını yönləndirilmiş agent olmadan ötürən keçid hostu adətən ehtiyacı tamamilə aradan qaldırır.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Birinci, agentin hazırda hansı şəxsiyyətləri saxladığını sadalayır və bunu soketi başqa maşına verməzdən əvvəl bilmək dəyərlidir. İkinci, nümayəndəlik olmadan bağlanır. Üçüncü, yönləndirməni tamamilə əvəz edən keçid hostu nümunəsini göstərir.

Cavabı əlinizdəki dəlillərə görə seçin

Məruz qaldığı düşünülən imzalama şəxsiyyəti açarın dəyişdirilməsi və ləğvi prosesini, həmçinin ona etibar edən xidmətlərdən qəbulunun silinməsini tələb edir. Noutbukunuzdakı kopyanı silmək hər digər kopyanı toxunulmaz qoyur. Xidmətlərdən başlayın, sonra klientləri təmizləyin.

Müvəqqəti nümayəndəlik problemi daha dardır. Lazım olmayan yönləndirməni dayandırın və hadisənin sahibi ilə birlikdə onun hansı sessiyaları və şəxsiyyətləri əhatə etdiyini nəzərdən keçirin. Açar dəyişimi yenə də gələ bilər, amma buna narahatlıq deyil, dəlillər qərar verir.

Müşahidə olunmuş heç bir ixrac yalnız qorxduğunuz mexanizmin görünmədiyini sübut edir. O, həmin soketin digər ucundakı hostun başqa nə edə biləcəyi barədə heç nə demir.

Hesabatda nəzarət tədbirlərini ayrı saxlayın

Şəxsi materialı qoruyun, ondan imza istəyə biləcəkləri məhdudlaşdırın, yoxlanılmış qarşı tərəf şəxsiyyətini saxlayın. Bunlar bir-birini gücləndirən üç nəzarətdir və nə baş verdiyini izah edərkən heç biri digərini əvəz etmir.

Kompromisə uğramış noutbuk və ya onun üzərindəki imtiyazlı tətbiq daha geniş təsir radiusuna malik üçüncü haldır. VPN marşrutunu dəyişmək bunu həll etmir və diskdən oxunmuş ola biləcək açara etibarı bərpa etmir.

Hansı komponentə etibar edildiyini, yönləndirmənin aktiv olub-olmadığını və həqiqətən nə müşahidə edildiyini yazın. Növbəti qərarı sızmanın nə demək olduğuna dair təxmin deyil, məhz bu qeyd müdafiə oluna bilən edir.