SSH কী কপি হয়েছে, নাকি এজেন্ট ফরোয়ার্ড? দুই ভিন্ন ঝুঁকি

VPN-এর মধ্য দিয়ে SSH কী ব্যবহার করা লগইন মানে এই নয় যে ব্যক্তিগত কী নেটওয়ার্ক অপারেটরের হাতে দেওয়া হয়েছে, এবং এই আশ্বাস মানুষ যতটা শোনে তার চেয়ে সংকীর্ণ। পাবলিক-কী প্রমাণীকরণ একটি পাবলিক কী এবং ক্লায়েন্ট নিজে তৈরি করা একটি স্বাক্ষর পাঠায়। এজেন্ট ফরোয়ার্ডিং ভিন্ন প্রকাশের ভিন্ন ব্যবস্থা, এবং এটি আপনার নিয়ন্ত্রণে নেই এমন মেশিনে ব্যবহারযোগ্য প্রমাণীকরণ ক্ষমতা রেখে যেতে পারে। আপনার প্রতিক্রিয়া নির্ভর করে এ দুটির মধ্যে কোনটি সত্যিই ঘটেছে তার উপর।

পাবলিক-কী প্রমাণীকরণ কী পাঠায়

স্ট্যান্ডার্ড পাবলিক-কী পদ্ধতিতে ক্লায়েন্ট একটি পাবলিক কী উপস্থাপন করে, সার্ভার সিদ্ধান্ত নেয় সেই কী গ্রহণ করবে কি না, এবং ক্লায়েন্ট তার ফাইল বা এজেন্টে থাকা ব্যক্তিগত কী দিয়ে একটি চ্যালেঞ্জ স্বাক্ষর করে। নেটওয়ার্ক পেরিয়ে যায় পাবলিক কী এবং তার ফলে তৈরি স্বাক্ষর। সেই বিনিময়ে সার্ভার, টানেল বা পথের কাউকে ব্যক্তিগত উপাদান ধরে রাখতে হয় না।

প্রমাণীকরণ স্পেসিফিকেশন সেই প্রমাণ সংজ্ঞায়িত করে, এবং ব্যক্তিগত কী অনুরোধে কোনো ক্ষেত্র নয়।

এটি প্রোটোকল সম্পর্কে একটি বিবৃতি, জড়িত প্রতিটি প্রান্তের চরিত্র-প্রত্যয়ন নয়। হোস্ট পরিচয় যাচাই এখনও অটুট থাকতে হবে, কারণ যে সার্ভার নিজেকে প্রমাণ করতে পারে না সে আপনার অজানা উদ্দেশ্যে স্বাক্ষর সংগ্রহ করতে পারে। ভাড়া করা VM, উত্তরাধিকারে পাওয়া বাস্টিয়ন এবং অপরিচিত এক্সটেনশন চালানো ল্যাপটপ তিনটি আলাদা বিশ্বাসের প্রশ্ন। এগুলিকে ক্রিপ্টোগ্রাফিক প্রশ্ন থেকে আলাদা রাখুন, যা সত্যিই নিষ্পত্তি হয়েছে।

এজেন্ট ফরোয়ার্ডিং কী প্রতিনিধিত্ব দেয়

এজেন্ট ফরোয়ার্ডিং দূরবর্তী হোস্ট থেকে আপনার মেশিনের এজেন্টের দিকে একটি চ্যানেল খোলে, যাতে সেই হোস্টের প্রক্রিয়াগুলো ব্যক্তিগত কী না ধরেই এজেন্টকে স্বাক্ষর করতে বলতে পারে। কী যেখানে আছে সেখানেই থাকে, ক্ষমতা থাকে না। দূরবর্তী হোস্টে সেই ফরোয়ার্ড করা সকেটে পৌঁছাতে পারে এমন যেকোনো কিছু, সেশনের সময়কাল ধরে, লোড করা পরিচয়গুলোর একটি হিসেবে প্রমাণীকরণের কাজ অনুরোধ করতে পারে। এটি প্রতিনিধিত্বপ্রাপ্ত কর্তৃত্ব, তাই ফরোয়ার্ডিং পাবলিক কী হস্তান্তরের চেয়ে সংকীর্ণ নীতি পাওয়ার যোগ্য।

কপি করা কী ফাইল একটি প্রকাশ। ফরোয়ার্ড করা এজেন্ট একটি অনুমোদন, এবং দুটির ভিন্ন উত্তরের প্রয়োজন।

নির্দিষ্ট প্রয়োজনে ও নির্দিষ্ট হোস্টের জন্য ফরোয়ার্ডিং চালু করুন, এবং কনফিগারেশন যা বলছে বলে মনে হয় তার বদলে ক্লায়েন্ট আসলে কী করে তা পরীক্ষা করুন। কার্যকর সেটিংসই গুরুত্বপূর্ণ, কারণ একটি হোস্ট ব্লক নীরবে একটি বৈশ্বিক ডিফল্টকে অগ্রাহ্য করে। একই যুক্তি সার্ভারের দিকেও প্রযোজ্য, যা স্থাপনার কখনো প্রয়োজন না হলে ফরোয়ার্ডিং সম্পূর্ণভাবে প্রত্যাখ্যান করতে পারে।

সাড়া বেছে নেওয়ার আগে প্রমাণ পড়ুন

যদি কোনো ব্যক্তিগত কী ফাইল বা সমতুল্য স্বাক্ষর পরিচয় প্রকাশিত হয়েছে বলে মনে করা হয়, প্রতিক্রিয়া হলো আপনার প্রতিষ্ঠানের প্রক্রিয়ার মাধ্যমে প্রতিস্থাপন ও প্রত্যাহার, সঙ্গে সেই প্রতিটি সেবা থেকে তার গ্রহণযোগ্যতা সরানো যা তাকে বিশ্বাস করেছিল। একটি স্থানীয় অনুলিপি মুছে ফেললে আপনি যে অনুলিপি দেখতে পান না সেগুলো অকার্যকর হয় না।

যদি উদ্বেগটি সাময়িক এজেন্ট প্রবেশাধিকার হয়, প্রতিক্রিয়া সংকীর্ণতর: অপ্রয়োজনীয় প্রতিনিধিত্ব বন্ধ করুন, জড়িত সেশন ও পরিচয় পর্যালোচনা করুন, এবং ঘটনার মালিককে সিদ্ধান্ত নিতে দিন প্রতিস্থাপন ন্যায্য কি না। এখানে প্রমাণ গুরুত্বপূর্ণ, কারণ কোনো পর্যবেক্ষিত রপ্তানি না থাকা প্রমাণ করে না যে কোনো প্রমাণীকরণের অপব্যবহার হয়নি, এবং শুধু পথ পরিবর্তন চুরি হওয়া কীয়ের রোগনির্ণয় নয়। কোন উপাদানকে বিশ্বাস করা হয়েছিল, ফরোয়ার্ডিং চালু ছিল কি না, এবং আসলে কী পর্যবেক্ষণ করা হয়েছে তা লিখে রাখুন। তারপর সেই রেকর্ডের সঙ্গে মানানসই প্রতিক্রিয়া বেছে নিন, সবচেয়ে নাটকীয়টির বদলে।

ssh-add -l
ssh -G host.example | grep -i forwardagent

পরিবর্তনের আগে ও পরে সেগুলো চালান যাতে তুলনার অর্থ থাকে। আগে প্রতিষ্ঠিত একটি সেশন তার দেওয়া প্রতিনিধিত্ব ধরে রাখে, সেটিংস এখন যা-ই বলুক।

দুটি নিয়ন্ত্রণ যা বিনিময়যোগ্য নয়

ব্যক্তিগত উপাদান সুরক্ষা, কে তার স্বাক্ষর চাইতে পারবে তা সীমিত করা, এবং সমকক্ষের পরিচয় যাচাই তিনটি সম্পর্কিত নিয়ন্ত্রণ, এবং কোনোটি অন্যটির বিকল্প নয়। যে দল হোস্ট কী না পরীক্ষা করে ফরোয়ার্ডিং সরিয়েছে তারা অর্ধেক সমস্যা ঠিক করেছে। যে দল পথ বদলানোর কারণে কী ঘোরাতে বসেছে তারা কিছুই ঠিক করেনি।

আপসকৃত প্রান্ত চতুর্থ প্রশ্ন, কারণ আপনার নিজের মেশিনে বিশেষাধিকারপ্রাপ্ত সফটওয়্যার প্যাকেট পর্যবেক্ষণের চেয়ে অনেক বেশি করতে পারে।

কিছু স্পর্শ করার আগে ঘটনাটিকে সেই শ্রেণিতে ভাগ করুন, এবং প্রত্যেকটিকে একটি মালিক দিন। কী বিশ্বাস করা হয়েছিল, কী প্রতিনিধিত্ব দেওয়া হয়েছিল এবং কী যাচাই করা হয়েছিল তার সংক্ষিপ্ত রেকর্ড রাখুন, কারণ সেই রেকর্ডই পরের পর্যালোচনাকে আরেকটি বিতর্কের বদলে সস্তা করে। কোনো শ্রেণি অজানা হলে নিরীহ সম্ভাবনা ধরে নেওয়ার বদলে অজানা লিখুন। পার্থক্যটি প্রায়োগিক, একাডেমিক নয়: এটি ঠিক করে আপনি একটি প্রমাণপত্র প্রতিস্থাপন করবেন, একটি সেশন প্রত্যাহার করবেন, নাকি শুধু ফরোয়ার্ডিং বন্ধ করবেন।