Anfon asiant SSH ymlaen yn erbyn copïo allwedd: beth sy'n gollwng mewn gwirionedd

Gelwir dau ddigwyddiad gwahanol yn allwedd SSH wedi gollwng, ac maent yn galw am ymatebion gwahanol. Mae dilysu ag allwedd gyhoeddus yn anfon allwedd gyhoeddus a llofnod a wnaed gyda'r allwedd breifat, felly nid yw'r allwedd breifat byth yn faes yn y cais. Mae anfon asiant ymlaen yn datgelu rhywbeth arall, oherwydd gall westeiwr o bell sy'n cyrraedd eich asiant a anfonwyd ymlaen ofyn iddo lofnodi heb byth ddal yr allwedd. Mae trin y ddau fel un digwyddiad yn arwain naill ai at gylchdroi di-bwynt neu at dirprwyaeth sy'n parhau i redeg.

Mae mewngofnodi ag allwedd gyhoeddus yn trosglwyddo llofnod, nid yr allwedd

Mae'r cyfnewid dilysu yn cario allwedd gyhoeddus y defnyddiwr a llofnod dros ddata'r sesiwn. Mae'r gweinydd yn gwirio'r llofnod hwnnw yn erbyn yr allwedd y mae'n ymddiried ynddi eisoes, a dyna pam y gall y hanner preifat aros ar y cleient dros rwydwaith annibynadwy. Mae gweithredwr VPN sy'n gwylio'r twnnel yn gweld sesiwn SSH wedi'i hamgryptio beth bynnag.

Mae hynny'n disgrifio'r protocol, nid dibynadwyedd pob pen ar y llwybr. Cadwch wirio hunaniaeth y gwesteiwr yn gyfan, oherwydd mae cleient sy'n derbyn unrhyw allwedd gwesteiwr wedi cefnu ar reolaeth wahanol i'r un a drafodir. Mae sesiwn a gafwyd ac allwedd a gafwyd yn ganfyddiadau ar wahân, a dim ond un ohonynt yw colli manylion mewngofnodi. Cadwch y ddau mewn brawddegau ar wahân yn yr adroddiad hefyd.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Mae'r gorchymyn cyntaf yn argraffu'r ôl-bys cyhoeddus fel y gallwch ei gymharu â'r hyn y mae'r gweinydd yn ei restru. Mae'r ail yn gwneud y gwiriad allwedd gwesteiwr yn benodol yn lle dibynnu ar osodiad rhagosodedig na ddarllenodd neb. Rhedwch y ddau cyn newid unrhyw beth am allweddi, fel bod y llinell sylfaen yn cael ei chofnodi.

Mae anfon asiant ymlaen yn dirprwyo'r gallu i lofnodi

Pan fydd anfon ymlaen wedi'i alluogi, mae soced yn ymddangos ar y gwesteiwr o bell ac mae'r asiant lleol yn ateb ceisiadau sy'n cyrraedd trwyddo. Gall unrhyw un sy'n gallu defnyddio'r soced hwnnw yn ystod y sesiwn ddilysu fel chi i westeiwyr sy'n derbyn yr hunaniaethau a lwythwyd. Nid oes unrhyw allwedd breifat yn croesi'r rhwydwaith i wneud hynny'n gweithio.

Y gallu yw'r datguddiad, nid y ffeil. Dyna pam mae anfon ymlaen yn perthyn i dasg a enwir ac i westeiwr a enwir yn hytrach nag i bob cysylltiad y mae gliniadur yn ei wneud. Mae gwesteiwr neidio sy'n trosglwyddo'r cysylltiad heb asiant a anfonwyd ymlaen fel arfer yn dileu'r angen yn llwyr.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Mae'r cyntaf yn rhestru pa hunaniaethau sydd gan yr asiant ar hyn o bryd, sy'n werth ei wybod cyn rhoi ei soced i beiriant arall. Mae'r ail yn cysylltu heb ddirprwyaeth. Mae'r trydydd yn dangos patrwm y gwesteiwr neidio sydd yn aml yn disodli anfon ymlaen yn gyfan gwbl.

Dewiswch yr ymateb o'r dystiolaeth sydd gennych

Mae hunaniaeth lofnodi y credir ei bod wedi'i datgelu yn galw am y broses o ddisodli a dirymu'r allwedd, ac am ddileu ei derbyniad o'r gwasanaethau a ymddiriedai ynddi. Mae dileu'r copi ar eich gliniadur yn gadael pob copi arall yn gyffwrdd. Dechreuwch o'r gwasanaethau, yna glanhewch y cleientiaid.

Mae problem dirprwyaeth dros dro yn gulach. Gorffennwch yr anfon ymlaen nad oedd ei angen, ac adolygwch gyda pherchennog y digwyddiad pa sesiynau a hunaniaethau y bu'n eu cynnwys. Gall disodli'r allwedd ddilyn o hyd, ond tystiolaeth sy'n penderfynu hynny, nid pryder.

Nid yw dim allforio a arsylwyd yn profi ond nad yw'r mecanwaith yr oeddech yn ei ofni wedi ymddangos. Nid yw'n dweud dim am beth arall y gallai gwesteiwr ar ben arall y soced hwnnw fod wedi'i wneud.

Cadwch y rheolaethau ar wahân yn yr adroddiad

Diogelwch y deunydd preifat, cyfyngwch pwy all ofyn iddo lofnodi, cadwch hunaniaeth y gyferbynnedd wedi'i gwirio. Mae'r rheini'n dair rheolaeth sy'n atgyfnerthu ei gilydd, ac nid oes yr un ohonynt yn cymryd lle'r llall pan fyddwch yn esbonio beth ddigwyddodd.

Mae gliniadur wedi'i beryglu neu raglen freintiedig arno yn drydydd achos ag ystod lawer ehangach. Nid yw newid llwybr VPN yn ei ddatrys, ac nid yw'n adfer ymddiriedaeth mewn allwedd a allai fod wedi'i darllen o'r disg.

Nodwch pa gydran a ymddiriedwyd, a oedd anfon ymlaen wedi'i alluogi, a beth a arsylwyd mewn gwirionedd. Y cofnod hwnnw sy'n gwneud y penderfyniad nesaf yn amddiffynadwy yn lle dyfalu beth mae gollyngiad yn ei olygu.