Ключ SSH скапіяваны ці агент перанакіраваны? Два розныя рызыкі

Уваход, які выкарыстоўвае ключ SSH праз VPN, не азначае, што прыватны ключ перадалі аператару сеткі, і гэта заспакаенне вузейшае, чым людзі чуюць. Аўтэнтыфікацыя публічным ключом адпраўляе публічны ключ і подпіс, які кліент стварае лакальна. Перанакіраванне агента — гэта іншая схема з іншай экспазіцыяй, і яна можа пакінуць прыдатную здольнасць аўтэнтыфікацыі на машыне, якой вы не кіруеце. Адказ, які вы павінны даць, залежыць ад таго, што з гэтых двух сапраўды адбылося.

Што адпраўляе аўтэнтыфікацыя публічным ключом

У стандартным метадзе публічнага ключа кліент прапануе публічны ключ, сервер вырашае, ці прымаць гэты ключ, а кліент падпісвае выклік прыватным ключом, які застаецца ў сваім файле або сваім агенце. Праз сетку ідуць публічны ключ і атрыманы подпіс. Нішто ў гэтым абмене не патрабуе, каб сервер, тунель або хто-небудзь на шляху трымаў прыватны матэрыял.

Спецыфікацыя аўтэнтыфікацыі вызначае гэты доказ, і прыватны ключ не з'яўляецца полем запыту.

Гэта сцвярджэнне пра пратакол, а не характарыстыка кожнага задзейнічанага канчатковага вузла. Праверка ідэнтычнасці хоста ўсё яшчэ павінна быць цэласнай, бо сервер, які не можа даказаць, хто ён, можа збіраць подпісы для мэты, якую вы не мелі на ўвазе. Арандаваная VM, унаследаваны бастыён і ноўтбук з незнаёмым пашырэннем — гэта тры асобныя пытанні даверу. Трымайце іх асобна ад крыптаграфічнага, якое сапраўды вырашана.

Што дэлегуе перанакіраванне агента

Перанакіраванне агента адкрывае канал ад аддаленага хоста назад да агента на вашай машыне, таму працэсы на гэтым хосце могуць прасіць агент падпісаць, ніколі не трымаючы прыватны ключ. Ключ застаецца там, дзе ён ёсць, а здольнасць — не. Усё, што можа дасягнуць гэтага перанакіраванага сокета на аддаленым хосце, на працягу жыцця сеанса, можа запытваць аперацыі аўтэнтыфікацыі як адна з загружаных ідэнтычнасцяў. Гэта дэлегаваныя паўнамоцтвы, і таму перанакіраванне заслугоўвае вузейшай палітыкі, чым перадача публічнага ключа.

Скапіяваны файл ключа — гэта раскрыццё. Перанакіраваны агент — гэта дазвол, і два выпадкі патрабуюць розных адказаў.

Уключыце перанакіраванне для названай патрэбы і названых хостаў і праверце, што кліент фактычна робіць, а не тое, што, здаецца, кажа канфігурацыя. Важныя эфектыўныя налады, бо блок хоста ціха перакрывае глабальнае значэнне па змаўчанні. Тое ж меркаванне тычыцца боку сервера, які можа цалкам адмовіць у перанакіраванні, калі разгортванне ніколі гэтага не патрабуе.

Прачытайце доказы, перш чым выбіраць адказ

Калі лічыцца, што файл прыватнага ключа або эквівалентная ідэнтычнасць подпісу раскрытыя, адказ — замена і адкліканне праз працэс вашай арганізацыі, а таксама выдаленне яго прыняцця з кожнай службы, якая яму давярала. Выдаленне адной лакальнай копіі не анулюе копіі, якіх вы не бачыце.

Калі турбота — часовы доступ агента, адказ вузейшы: спыніце непатрэбнае дэлегаванне, праглядзіце задзейнічаныя сеансы і ідэнтычнасці і дазвольце ўладальніку інцыдэнта вырашыць, ці апраўдана замена. Тут важныя доказы, бо адсутнасць заўважанага экспарту не даказвае, што аўтэнтыфікацыя не выкарыстоўвалася злоўжываннем, а змена шляху сама па сабе не з'яўляецца дыягназам украдзенага ключа. Запішыце, якому кампаненту давяралі, ці было ўключана перанакіраванне і што фактычна назіралася. Затым выберыце адказ, які адпавядае гэтаму запісу, а не самы драматычны з даступных.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Запусціце іх да і пасля змены, каб параўнанне нешта азначала. Сеанс, усталяваны раней, захоўвае дэлегаванне, якое яму далі, што б ні казалі налады зараз.

Дзве меры кантролю, якія не ўзаемазамяняльныя

Абарона прыватнага матэрыялу, абмежаванне таго, хто можа прасіць яго падпісаць, і праверка ідэнтычнасці партнёра — гэта тры звязаныя меры кантролю, і ні адна не замяняе іншую. Каманда, якая выдаліла перанакіраванне без праверкі ключоў хостаў, выправіла палову праблемы. Каманда, якая змяніла ключ, бо змяніўся маршрут, не выправіла нічога.

Скампраметаваны канчатковы вузел — чацвёртае пытанне, бо прывілеяванае праграмнае забеспячэнне на вашай уласнай машыне можа зрабіць значна больш, чым назіраць за пакетамі.

Адсартуйце інцыдэнт па гэтых катэгорыях, перш чым нешта чапаць, і прызначце кожнай уладальніка. Трымайце кароткі запіс пра тое, чаму давяралі, што дэлегавалі і што праверылі, бо менавіта гэты запіс робіць наступны разгляд танным замест чарговых дэбатаў. Калі якая-небудзь катэгорыя невядомая, напішыце «невядома» замест таго, каб меркаваць спрыяльны выпадак. Адрозненне практычнае, а не акадэмічнае: яно вырашае, ці замяняць уліковыя даныя, адклікаць сеанс або проста спыніць перанакіраванне.