SSH açarı kopyalanıb, yoxsa agent yönləndirilib? İki fərqli risk

VPN vasitəsilə SSH açarından istifadə edən giriş şəxsi açarın şəbəkə operatoruna verildiyi anlamına gəlmir və bu təminat insanların eşitdiyindən daha dardır. Açıq açar autentifikasiyası açıq açar və müştərinin yerli olaraq yaratdığı imza göndərir. Agent yönləndirməsi fərqli məruz qalma ilə fərqli bir quruluşdur və nəzarət etmədiyiniz maşında istifadə edilə bilən autentifikasiya qabiliyyəti qoya bilər. Borclu olduğunuz cavab bu ikisindən hansının həqiqətən baş verdiyindən asılıdır.

Açıq açar autentifikasiyası nə göndərir

Standart açıq açar metodunda müştəri açıq açar təklif edir, server həmin açarı qəbul edib-etmədiyini qərarlaşdırır və müştəri faylında və ya agentində qalan şəxsi açarla bir çağırışı imzalayır. Şəbəkədən keçən açıq açar və ondan yaranan imzadır. Bu mübadilədə heç nə serverin, tunelin və ya yol boyunca kiminsə şəxsi materialı saxlamasını tələb etmir.

Autentifikasiya spesifikasiyası həmin sübutu müəyyən edir və şəxsi açar sorğuda sahə deyil.

Bu, protokol haqqında bəyanatdır, iştirak edən hər son nöqtə üçün xasiyyət şəhadətnaməsi deyil. Host kimliyinin yoxlanması hələ də bütöv olmalıdır, çünki kim olduğunu sübut edə bilməyən server nəzərdə tutmadığınız məqsəd üçün imzalar toplaya bilər. Kirayə götürülmüş VM, miras qalmış bastion və tanımadığı genişləndirmə işlədən noutbuk üç ayrı etibar sualıdır. Onları həqiqətən həll olunmuş kriptoqrafik sualdan ayrı saxlayın.

Agent yönləndirməsi nəyi vəkalət verir

Agent yönləndirməsi uzaq hostdan maşınınızdakı agentə kanal açır, belə ki həmin hostdakı proseslər şəxsi açarı heç vaxt saxlamadan agentdən imzalamağı xahiş edə bilər. Açar olduğu yerdə qalır, qabiliyyət isə qalmır. Uzaq hostdakı həmin yönləndirilmiş soketə çata bilən hər şey, sessiyanın ömrü boyunca, yüklənmiş kimliklərdən biri kimi autentifikasiya əməliyyatları tələb edə bilər. Bu, vəkalət verilmiş səlahiyyət deməkdir, buna görə yönləndirmə açıq açarı təhvil verməkdən daha dar siyasətə layiqdir.

Kopyalanmış açar faylı açıqlamadır. Yönləndirilmiş agent isə icazədir və ikisi fərqli cavablar tələb edir.

Yönləndirməni adlandırılmış ehtiyac və adlandırılmış hostlar üçün aktivləşdirin və konfiqurasiyanın dediyi göründüyündən çox müştərinin həqiqətən nə etdiyini yoxlayın. Effektiv parametrlər vacibdir, çünki host bloku qlobal defoltu səssizcə üstələyir. Eyni məntiq server tərəfində də keçərlidir, o, yerləşdirmə heç vaxt ehtiyac duymadıqda yönləndirməni tamamilə rədd edə bilər.

Cavabı seçməzdən əvvəl sübutları oxuyun

Şəxsi açar faylının və ya ekvivalent imzalama kimliyinin ifşa olunduğu güman edilirsə, cavab təşkilatınızın prosesi ilə dəyişdirmə və ləğvetmə, üstəlik onun hər etibar edən xidmətdən qəbulunun silinməsidir. Bir yerli nüsxənin silinməsi görə bilmədiyiniz nüsxələri etibarsız etmir.

Əgər narahatlıq müvəqqəti agent girişidirsə, cavab daha dardır: lazımsız vəkaləti dayandırın, iştirak edən sessiyaları və kimlikləri nəzərdən keçirin və hadisə sahibinə dəyişdirmənin əsaslı olub-olmadığını qərar verməyə buraxın. Burada sübut vacibdir, çünki müşahidə olunan ixrac yoxdur heç bir autentifikasiyanın sui-istifadə edilmədiyini sübut etmir və tək yol dəyişikliyi oğurlanmış açarın diaqnozu deyil. Hansı komponentə etibar edildiyini, yönləndirmənin aktiv olub-olmadığını və həqiqətən nə müşahidə edildiyini yazın. Sonra ən dramatik cavabı deyil, həmin qeydə uyğun cavabı seçin.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Onları dəyişiklikdən əvvəl və sonra işə salın ki, müqayisə məna kəsb etsin. Daha əvvəl qurulmuş sessiya parametrlərin indi nə dediyindən asılı olmayaraq aldığı vəkaləti saxlayır.

Bir-birini əvəz etməyən iki nəzarət

Şəxsi materialı qorumaq, onun imzalanmasını kimin xahiş edə biləcəyini məhdudlaşdırmaq və qarşı tərəfin kimliyini yoxlamaq üç əlaqəli nəzarətdir və heç biri digərini əvəz etmir. Host açarlarını yoxlamadan yönləndirməni silən komanda problemin yarısını düzəldib. Marşrut dəyişdiyi üçün açarı fırladan komanda heç nə düzəltməyib.

Kompromisə uğramış son nöqtə dördüncü sualdır, çünki öz maşınınızdakı imtiyazlı proqram paketləri izləməkdən xeyli çox şey edə bilər.

Bir şeyə toxunmazdan əvvəl hadisəni həmin kateqoriyalara bölün və hər birinə sahib təyin edin. Nəyə etibar edildiyinin, nəyin vəkalət verildiyinin və nəyin yoxlanıldığının qısa qeydini saxlayın, çünki növbəti baxışı növbəti mübahisə əvəzinə ucuz edən həmin qeyddir. Hər hansı kateqoriya bilinmirsə, xoşbəxt halı güman etmək əvəzinə bilinmir yazın. Fərq akademik deyil, praktikdir: kimlik sənədini dəyişdirdiyinizi, sessiyanı ləğv etdiyinizi və ya sadəcə yönləndirməni dayandırdığınızı bu müəyyən edir.