Προώθηση πράκτορα SSH ή αντιγραφή κλειδιού: τι πραγματικά διαρρέει

Δύο διαφορετικά γεγονότα αποκαλούνται διέρρευσε κλειδί SSH, και απαιτούν διαφορετικές αντιδράσεις. Η ταυτοποίηση με δημόσιο κλειδί στέλνει ένα δημόσιο κλειδί και μια υπογραφή που φτιάχτηκε με το ιδιωτικό κλειδί, οπότε το ιδιωτικό κλειδί δεν είναι ποτέ πεδίο του αιτήματος. Η προώθηση πράκτορα εκθέτει κάτι άλλο, γιατί ένας απομακρυσμένος κεντρικός υπολογιστής που φτάνει στον προωθημένο πράκτορά σας μπορεί να του ζητήσει υπογραφή χωρίς να κρατήσει ποτέ το κλειδί. Αν τα αντιμετωπίσετε ως ένα γεγονός, καταλήγετε ή σε μια άσκοπη αλλαγή κλειδιού ή σε μια ανάθεση που μένει ενεργή.

Η σύνδεση με δημόσιο κλειδί μεταδίδει υπογραφή, όχι το κλειδί

Η ανταλλαγή ταυτοποίησης μεταφέρει το δημόσιο κλειδί του χρήστη και μια υπογραφή πάνω στα δεδομένα της συνεδρίας. Ο διακομιστής ελέγχει αυτή την υπογραφή με το κλειδί που εμπιστεύεται ήδη, γι' αυτό το ιδιωτικό μισό μπορεί να μείνει στον πελάτη μέσα από μη αξιόπιστο δίκτυο. Ένας διαχειριστής VPN που παρακολουθεί τη σήραγγα βλέπει ούτως ή άλλως μια κρυπτογραφημένη συνεδρία SSH.

Αυτό περιγράφει το πρωτόκολλο, όχι την αξιοπιστία κάθε άκρου στη διαδρομή. Κρατήστε την επαλήθευση ταυτότητας κεντρικού υπολογιστή άθικτη, γιατί ένας πελάτης που δέχεται οποιοδήποτε κλειδί κεντρικού υπολογιστή έχει εγκαταλείψει διαφορετικό έλεγχο από αυτόν που συζητάμε. Μια υποκλαπείσα συνεδρία και ένα υποκλαπέν κλειδί είναι ξεχωριστά ευρήματα, και μόνο ένα από τα δύο είναι απώλεια διαπιστευτηρίων. Κρατήστε τα δύο και σε ξεχωριστές προτάσεις της αναφοράς.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Η πρώτη εντολή εκτυπώνει το δημόσιο αποτύπωμα ώστε να το συγκρίνετε με αυτό που παραθέτει ο διακομιστής. Η δεύτερη κάνει ρητό τον έλεγχο κλειδιού κεντρικού υπολογιστή αντί να βασίζεται σε μια προεπιλογή που δεν διάβασε κανείς. Εκτελέστε και τις δύο πριν αλλάξετε οτιδήποτε στα κλειδιά, ώστε η βάση αναφοράς να τεκμηριωθεί.

Η προώθηση πράκτορα αναθέτει τη δυνατότητα υπογραφής

Όταν η προώθηση είναι ενεργή, εμφανίζεται ένα socket στον απομακρυσμένο κεντρικό υπολογιστή και ο τοπικός πράκτορας απαντά στα αιτήματα που φτάνουν μέσα από αυτό. Όποιος μπορεί να χρησιμοποιήσει αυτό το socket στη διάρκεια της συνεδρίας μπορεί να ταυτοποιηθεί ως εσείς σε κεντρικούς υπολογιστές που δέχονται τις φορτωμένες ταυτότητες. Κανένα ιδιωτικό κλειδί δεν διασχίζει το δίκτυο για να λειτουργήσει αυτό.

Η δυνατότητα είναι η έκθεση, όχι το αρχείο. Γι' αυτό η προώθηση ανήκει σε μια ονομασμένη εργασία και έναν ονομασμένο κεντρικό υπολογιστή και όχι σε κάθε σύνδεση που κάνει ένα φορητό. Ένας κόμβος αναπήδησης που μεταβιβάζει τη σύνδεση χωρίς προωθημένο πράκτορα συνήθως αφαιρεί την ανάγκη εντελώς.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Η πρώτη απαριθμεί ποιες ταυτότητες κρατά τώρα ο πράκτορας, κάτι που αξίζει να το ξέρετε πριν δώσετε το socket του σε άλλο μηχάνημα. Η δεύτερη συνδέεται χωρίς ανάθεση. Η τρίτη δείχνει το μοτίβο κόμβου αναπήδησης που συχνά αντικαθιστά την προώθηση εντελώς.

Διαλέξτε την αντίδραση από τα στοιχεία που έχετε

Μια ταυτότητα υπογραφής που πιστεύεται εκτεθειμένη απαιτεί τη διαδικασία αντικατάστασης και ανάκλησης, και την αφαίρεση της αποδοχής της από τις υπηρεσίες που την εμπιστεύονταν. Η διαγραφή του αντιγράφου στο φορητό σας αφήνει κάθε άλλο αντίγραφο άθικτο. Ξεκινήστε από τις υπηρεσίες και μετά καθαρίστε τους πελάτες.

Ένα προσωρινό πρόβλημα ανάθεσης είναι στενότερο. Τερματίστε την προώθηση που δεν χρειαζόταν, και εξετάστε με τον ιδιοκτήτη του συμβάντος ποιες συνεδρίες και ταυτότητες κάλυπτε. Η αντικατάσταση κλειδιού μπορεί να ακολουθήσει, αλλά αυτό το αποφασίζουν τα στοιχεία και όχι η ανησυχία.

Καμία παρατηρημένη εξαγωγή αποδεικνύει μόνο ότι ο μηχανισμός που φοβόσασταν δεν εμφανίστηκε. Δεν λέει τίποτα για το τι άλλο θα μπορούσε να έχει κάνει ένας κεντρικός υπολογιστής στην άλλη άκρη αυτού του socket.

Κρατήστε τους ελέγχους ξεχωριστούς στην αναφορά

Προστατέψτε το ιδιωτικό υλικό, περιορίστε ποιος μπορεί να του ζητήσει υπογραφή, κρατήστε επαληθευμένη την ταυτότητα της άλλης πλευράς. Αυτοί είναι τρεις έλεγχοι που ενισχύουν ο ένας τον άλλον, και κανένας τους δεν υποκαθιστά άλλον όταν εξηγείτε τι συνέβη.

Ένα παραβιασμένο φορητό ή μια προνομιακή εφαρμογή πάνω του είναι τρίτη περίπτωση με πολύ ευρύτερη ακτίνα επιπτώσεων. Η αλλαγή της διαδρομής VPN δεν το λύνει και δεν αποκαθιστά την εμπιστοσύνη σε κλειδί που μπορεί να έχει διαβαστεί από τον δίσκο.

Γράψτε ποιο συστατικό ήταν αξιόπιστο, αν η προώθηση ήταν ενεργή και τι παρατηρήθηκε πραγματικά. Αυτό το αρχείο είναι που κάνει την επόμενη απόφαση υπερασπίσιμη αντί για μια εικασία για το τι σημαίνει διαρροή.