Zkopírovaný klíč SSH, nebo přesměrovaný agent? Dvě různá rizika

Přihlášení, které používá klíč SSH přes VPN, neznamená, že soukromý klíč byl předán provozovateli sítě, a toto uklidnění je užší, než lidé slyší. Autentizace veřejným klíčem posílá veřejný klíč a podpis, který klient vytváří lokálně. Přesměrování agenta je jiné uspořádání s jinou expozicí a může zanechat použitelnou schopnost autentizace na stroji, který neovládáte. Odpověď, kterou dlužíte, závisí na tom, co z těch dvou se skutečně stalo.

Co posílá autentizace veřejným klíčem

U standardní metody veřejného klíče klient nabídne veřejný klíč, server rozhodne, zda tento klíč přijme, a klient podepíše výzvu soukromým klíčem, který zůstává v jeho souboru nebo v jeho agentovi. Sítí prochází veřejný klíč a výsledný podpis. Nic v této výměně nevyžaduje, aby server, tunel nebo kdokoli na cestě držel soukromý materiál.

Specifikace autentizace definuje tento důkaz a soukromý klíč není pole v požadavku.

To je tvrzení o protokolu, ne charakteristika každého zúčastněného koncového bodu. Ověřování identity hostitele stále musí být neporušené, protože server, který nedokáže prokázat, kdo je, může shromažďovat podpisy pro účel, který jste nezamýšleli. Pronajatý VM, zděděný bastion a notebook s neznámým rozšířením jsou tři oddělené otázky důvěry. Držte je oddělené od kryptografické, která je skutečně vyřešená.

Co přesměrování agenta deleguje

Přesměrování agenta otevírá kanál ze vzdáleného hostitele zpět k agentu na vašem stroji, takže procesy na tomto hostiteli mohou požádat agenta o podpis, aniž by kdy držely soukromý klíč. Klíč zůstává tam, kde je, a schopnost ne. Cokoli, co se dokáže dostat k tomuto přesměrovanému socketu na vzdáleném hostiteli, po dobu životnosti relace, může žádat autentizační operace jako jedna z načtených identit. To je delegovaná pravomoc, a proto si přesměrování zaslouží užší politiku než předání veřejného klíče.

Zkopírovaný soubor s klíčem je vyzrazení. Přesměrovaný agent je povolení a oba případy potřebují různé odpovědi.

Zapněte přesměrování pro pojmenovanou potřebu a pojmenované hostitele a zkontrolujte, co klient skutečně dělá, místo toho, co konfigurace vypadá, že říká. Rozhodující jsou efektivní nastavení, protože blok hostitele tiše přepisuje globální výchozí hodnotu. Stejná logika platí na straně serveru, který může přesměrování úplně odmítnout, když ho nasazení nikdy nepotřebuje.

Přečtěte si důkazy, než zvolíte odpověď

Pokud se má za to, že soubor se soukromým klíčem nebo ekvivalentní podpisová identita byl vyzrazen, odpovědí je nahrazení a odvolání prostřednictvím procesu vaší organizace, plus odstranění jeho přijetí ze všech služeb, které mu důvěřovaly. Smazání jedné místní kopie nezneplatní kopie, které nevidíte.

Pokud jde o dočasný přístup agenta, odpověď je užší: zastavte nepotřebné delegování, projděte zúčastněné relace a identity a nechte vlastníka incidentu rozhodnout, zda je nahrazení oprávněné. Záleží tu na důkazech, protože žádný pozorovaný export nedokazuje, že nedošlo ke zneužití autentizace, a samotná změna cesty není diagnózou ukradeného klíče. Zapište, které komponentě se důvěřovalo, zda bylo přesměrování zapnuté a co se skutečně pozorovalo. Pak zvolte odpověď, která odpovídá tomuto záznamu, místo nejdramatičtější dostupné.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Spusťte je před změnou a po ní, aby srovnání něco znamenalo. Relace navázaná dříve si ponechává delegování, které jí bylo uděleno, ať nastavení nyní říkají cokoli.

Dvě kontroly, které nejsou zaměnitelné

Ochrana soukromého materiálu, omezení toho, kdo může požádat o podpis, a ověření identity protistrany jsou tři související kontroly a žádná nenahrazuje jinou. Tým, který odstraní přesměrování bez kontroly klíčů hostitelů, opravil polovinu problému. Tým, který vymění klíč, protože se změnila trasa, neopravil nic.

Kompromitovaný koncový bod je čtvrtá otázka, protože privilegovaný software na vašem vlastním stroji dokáže podstatně víc než pozorovat pakety.

Roztřiďte incident do těchto kategorií, než se čehokoli dotknete, a každé přidělte vlastníka. Veďte krátký záznam o tom, čemu se důvěřovalo, co bylo delegováno a co bylo ověřeno, protože právě tento záznam činí příští revizi levnou místo další debaty. Pokud je některá kategorie neznámá, napište neznámá, místo abyste předpokládali benigní případ. Rozdíl je praktický, ne akademický: rozhoduje, zda nahradíte pověřovací údaj, zrušíte relaci, nebo prostě přestanete přesměrovávat.