Allwedd SSH wedi'i chopïo neu asiant wedi'i anfon ymlaen? Dau risg wahanol

Nid yw mewngofnodi sy'n defnyddio allwedd SSH drwy VPN yn golygu bod yr allwedd breifat wedi'i rhoi i weithredwr y rhwydwaith, ac mae'r sicrwydd hwnnw'n gulach nag y mae pobl yn ei glywed. Mae dilysu allwedd gyhoeddus yn anfon allwedd gyhoeddus a llofnod y mae'r cleient yn ei gynhyrchu'n lleol. Mae anfon asiant ymlaen yn drefniant gwahanol ag amlygiad gwahanol, a gall adael gallu dilysu defnyddiadwy ar beiriant nad ydych yn ei reoli. Mae'r ymateb rydych yn ei haeddu yn dibynnu ar ba un o'r ddau a ddigwyddodd mewn gwirionedd.

Beth mae dilysu allwedd gyhoeddus yn ei anfon

Yn y dull safonol o allwedd gyhoeddus, mae'r cleient yn cynnig allwedd gyhoeddus, mae'r gweinydd yn penderfynu a yw'n derbyn yr allwedd honno, ac mae'r cleient yn llofnodi her gyda'r allwedd breifat, sy'n aros yn ei ffeil neu yn ei asiant. Yr hyn sy'n croesi'r rhwydwaith yw'r allwedd gyhoeddus a'r llofnod sy'n deillio o hynny. Nid oes unrhyw beth yn y cyfnewid hwnnw'n gofyn i'r gweinydd, y twnnel, na neb ar hyd y llwybr ddal y deunydd preifat.

Mae'r fanyleb dilysu yn diffinio'r prawf hwnnw, ac nid yw'r allwedd breifat yn faes yn y cais.

Mae hyn yn ddatganiad am brotocol, nid yn gyfeiriad cymeriad ar gyfer pob pen draw dan sylw. Mae'n rhaid i wirio hunaniaeth y gwesteiwr fod yn gyfan o hyd, oherwydd gall gweinydd na all brofi pwy yw ef fod yn casglu llofnodion at bwrpas na fwriedid gennych. Mae VM rhent, bastywn a etifeddwyd a gliniadur sy'n rhedeg estyn estron yn dri chwestiwn ymddiriedaeth ar wahân. Cadwch hwy ar wahân i'r un cryptograffig, sydd wir wedi'i setlo.

Beth mae anfon asiant ymlaen yn ei ddirprwyo

Mae anfon asiant ymlaen yn agor sianel o'r gwesteiwr pell yn ôl i'r asiant ar eich peiriant, fel y gall prosesau ar y gwesteiwr hwnnw ofyn i'r asiant lofnodi heb erioed ddal yr allwedd breifat. Mae'r allwedd yn aros lle y mae, ac nid yw'r gallu. Gall unrhyw beth sy'n gallu cyrraedd y soced hwnnw a anfonwyd ymlaen ar y gwesteiwr pell, am oes y sesiwn, ofyn am weithrediadau dilysu fel un o'r hunaniaethau sydd wedi'u llwytho. Mae hynny'n awdurdod dirprwyedig, a dyna pam mae anfon ymlaen yn haeddu polisi culach na throsglwyddo allwedd gyhoeddus.

Mae ffeil allwedd wedi'i chopïo yn ddatguddiad. Mae asiant a anfonwyd ymlaen yn ganiatâd, ac mae angen atebion gwahanol ar y ddau.

Galluogwch anfon ymlaen ar gyfer angen a enwyd a gwesteiwyr a enwyd, a gwiriwch beth mae'r cleient yn ei wneud mewn gwirionedd yn hytrach na'r hyn y mae'r ffurfweddiad yn ymddangos yn ei ddweud. Y gosodiadau effeithiol sy'n bwysig, oherwydd mae bloc gwesteiwr yn distewi disodli diofyn byd-eang. Mae'r un rhesymeg yn berthnasol ar ben y gweinydd, a all wrthod anfon ymlaen yn llwyr pan na fydd angen hynny ar y gosodiad byth.

Darllenwch y dystiolaeth cyn dewis ymateb

Os credir bod ffeil allwedd breifat neu hunaniaeth lofnodi gyfatebol wedi'i datguddio, yr ymateb yw amnewid a dirymu drwy broses eich sefydliad, ynghyd â dileu ei dderbyniad o bob gwasanaeth a ymddiriedodd ynddi. Nid yw dileu un copi lleol yn annilysu'r copïau na allwch eu gweld.

Os yw'r pryder yn fynediad asiant dros dro, mae'r ymateb yn gulach: stopiwch y dirprwyo diangen, adolygwch y sesiynau a'r hunaniaethau dan sylw, a gadewch i berchennog y digwyddiad benderfynu a yw amnewid yn gyfiawn. Mae tystiolaeth yn bwysig yma, oherwydd nid yw absenoldeb allforiad a welwyd yn profi na chamddefnyddiwyd unrhyw ddilysu, ac nid yw newid llwybr ar ei ben ei hun yn ddiagnosis o allwedd wedi'i dwyn. Nodwch pa gydran a ymddiriedwyd, a oedd anfon ymlaen wedi'i alluogi, a'r hyn a arsylwyd mewn gwirionedd. Yna dewiswch yr ymateb sy'n cyd-fynd â'r cofnod hwnnw yn lle'r un mwyaf dramatig sydd ar gael.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Rhedwch y rheini cyn ac ar ôl newid fel bod y gymhariaeth yn golygu rhywbeth. Mae sesiwn a sefydlwyd yn gynharach yn cadw'r dirprwyo a roddwyd iddi, beth bynnag y mae'r gosodiadau'n ei ddweud nawr.

Dau reolaeth nad ydynt yn gyfnewidiol

Mae amddiffyn deunydd preifat, cyfyngu pwy all ofyn iddo lofnodi, a gwirio hunaniaeth y cyfoed yn dri rheolaeth gysylltiedig, ac nid oes unrhyw un yn cymryd lle'r llall. Mae tîm sy'n tynnu anfon ymlaen heb wirio allweddi gwesteiwyr wedi trwsio hanner problem. Nid yw tîm sy'n cylchdroi allwedd oherwydd bod y llwybr wedi newid wedi trwsio dim.

Mae pen draw wedi'i gyfaddawdu yn bedwerydd cwestiwn, oherwydd gall meddalwedd freintiedig ar eich peiriant eich hun wneud llawer mwy na sylwi ar becynnau.

Didolwch y digwyddiad i'r categorïau hynny cyn cyffwrdd â dim, a rhowch berchennog i bob un. Cadwch gofnod byr o'r hyn a ymddiriedwyd, yr hyn a ddirprwywyd a'r hyn a wiriwyd, oherwydd y cofnod hwnnw sy'n gwneud yr adolygiad nesaf yn rhad yn lle dadl arall. Os yw unrhyw gategori yn anhysbys, ysgrifennwch anhysbys yn hytrach na thybio'r achos diniwed. Mae'r gwahaniaeth yn ymarferol, nid yn academaidd: mae'n penderfynu a ydych yn amnewid cymhwysiad, yn dirymu sesiwn, neu'n syml yn rhoi'r gorau i anfon ymlaen.