Κλειδί SSH αντιγραμμένο ή πράκτορας προωθημένος; Δύο διαφορετικοί κίνδυνοι

Μια σύνδεση που χρησιμοποιεί κλειδί SSH μέσω VPN δεν σημαίνει ότι το ιδιωτικό κλειδί παραδόθηκε στον φορέα εκμετάλλευσης του δικτύου, και αυτή η καθησύχαση είναι στενότερη απ' ό,τι ακούγεται. Η πιστοποίηση δημόσιου κλειδιού στέλνει ένα δημόσιο κλειδί και μια υπογραφή που παράγει ο πελάτης τοπικά. Η προώθηση πράκτορα είναι διαφορετική διάταξη με διαφορετική έκθεση και μπορεί να αφήσει μια χρησιμοποιήσιμη δυνατότητα πιστοποίησης σε μηχάνημα που δεν ελέγχετε. Η απάντηση που οφείλετε εξαρτάται από το ποιο από τα δύο συνέβη πραγματικά.

Τι στέλνει η πιστοποίηση δημόσιου κλειδιού

Στην τυπική μέθοδο δημόσιου κλειδιού ο πελάτης προσφέρει ένα δημόσιο κλειδί, ο διακομιστής αποφασίζει αν δέχεται αυτό το κλειδί, και ο πελάτης υπογράφει μια πρόκληση με το ιδιωτικό κλειδί, το οποίο μένει στο αρχείο του ή στον πράκτορά του. Αυτό που περνά το δίκτυο είναι το δημόσιο κλειδί και η υπογραφή που προκύπτει. Τίποτα σε αυτή την ανταλλαγή δεν απαιτεί ο διακομιστής, η σήραγγα ή οποιοσδήποτε στη διαδρομή να κρατά το ιδιωτικό υλικό.

Η προδιαγραφή πιστοποίησης ορίζει αυτή την απόδειξη, και το ιδιωτικό κλειδί δεν είναι πεδίο στο αίτημα.

Αυτή είναι μια δήλωση για ένα πρωτόκολλο, όχι πιστοποιητικό χαρακτήρα για κάθε εμπλεκόμενο τελικό σημείο. Ο έλεγχος ταυτότητας του κεντρικού υπολογιστή πρέπει να παραμείνει ακέραιος, γιατί ένας διακομιστής που δεν μπορεί να αποδείξει ποιος είναι μπορεί να συλλέγει υπογραφές για σκοπό που δεν σκοπεύατε. Ένα νοικιασμένο VM, ένα κληρονομημένο οχυρό και ένα φορητό με άγνωστη επέκταση είναι τρία χωριστά ερωτήματα εμπιστοσύνης. Κρατήστε τα χωριστά από το κρυπτογραφικό, το οποίο είναι πραγματικά λυμένο.

Τι εκχωρεί η προώθηση πράκτορα

Η προώθηση πράκτορα ανοίγει ένα κανάλι από τον απομακρυσμένο υπολογιστή πίσω στον πράκτορα του μηχανήματός σας, ώστε διεργασίες σε αυτόν τον υπολογιστή να ζητούν από τον πράκτορα να υπογράψει χωρίς να κρατούν ποτέ το ιδιωτικό κλειδί. Το κλειδί μένει εκεί που είναι, η δυνατότητα όχι. Οτιδήποτε μπορεί να φτάσει αυτό το προωθημένο socket στον απομακρυσμένο υπολογιστή, για τη διάρκεια της συνεδρίας, μπορεί να ζητήσει εργασίες πιστοποίησης ως μία από τις φορτωμένες ταυτότητες. Αυτή είναι εκχωρημένη εξουσία, γι' αυτό η προώθηση αξίζει στενότερη πολιτική από την παράδοση δημόσιου κλειδιού.

Ένα αντιγραμμένο αρχείο κλειδιού είναι αποκάλυψη. Ένας προωθημένος πράκτορας είναι παραχώρηση, και τα δύο χρειάζονται διαφορετικές απαντήσεις.

Ενεργοποιήστε την προώθηση για ονομασμένη ανάγκη και ονομασμένους υπολογιστές και ελέγξτε τι κάνει πραγματικά ο πελάτης αντί για το τι φαίνεται να λέει η διαμόρφωση. Οι ενεργές ρυθμίσεις είναι αυτές που μετρούν, γιατί ένα μπλοκ υπολογιστή υπερισχύει σιωπηρά μιας καθολικής προεπιλογής. Η ίδια λογική ισχύει στην πλευρά του διακομιστή, ο οποίος μπορεί να αρνηθεί εντελώς την προώθηση όταν η ανάπτυξη δεν τη χρειάζεται ποτέ.

Διαβάστε τα στοιχεία πριν επιλέξετε απάντηση

Αν πιστεύεται ότι ένα αρχείο ιδιωτικού κλειδιού ή ισοδύναμη ταυτότητα υπογραφής έχει εκτεθεί, η απάντηση είναι αντικατάσταση και ανάκληση μέσω της διαδικασίας του οργανισμού σας, συν αφαίρεση της αποδοχής του από κάθε υπηρεσία που το εμπιστεύτηκε. Η διαγραφή ενός τοπικού αντιγράφου δεν ακυρώνει τα αντίγραφα που δεν βλέπετε.

Αν η ανησυχία είναι προσωρινή πρόσβαση πράκτορα, η απάντηση είναι στενότερη: σταματήστε την περιττή εκχώρηση, εξετάστε τις συνεδρίες και τις ταυτότητες που εμπλέκονται, και αφήστε τον υπεύθυνο του περιστατικού να αποφασίσει αν δικαιολογείται αντικατάσταση. Τα στοιχεία μετρούν εδώ, γιατί η απουσία παρατηρούμενης εξαγωγής δεν αποδεικνύει ότι δεν έγινε κατάχρηση πιστοποίησης, και μια αλλαγή διαδρομής από μόνη της δεν είναι διάγνωση κλεμμένου κλειδιού. Καταγράψτε ποιο στοιχείο ήταν αξιόπιστο, αν η προώθηση ήταν ενεργοποιημένη και τι παρατηρήθηκε πραγματικά. Έπειτα επιλέξτε την απάντηση που ταιριάζει σε αυτό το αρχείο αντί για την πιο δραματική διαθέσιμη.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Εκτελέστε τα πριν και μετά από μια αλλαγή ώστε η σύγκριση να σημαίνει κάτι. Μια συνεδρία που είχε καθιερωθεί νωρίτερα διατηρεί την εκχώρηση που της δόθηκε, ό,τι κι αν λένε τώρα οι ρυθμίσεις.

Δύο έλεγχοι που δεν είναι ανταλλάξιμοι

Η προστασία του ιδιωτικού υλικού, ο περιορισμός του ποιος μπορεί να ζητήσει την υπογραφή του και η επαλήθευση της ταυτότητας του ομολόγου είναι τρεις σχετικοί έλεγχοι, και κανένας δεν υποκαθιστά άλλον. Μια ομάδα που αφαιρεί την προώθηση χωρίς να ελέγξει τα κλειδιά των υπολογιστών έχει διορθώσει το μισό ενός προβλήματος. Μια ομάδα που αλλάζει κλειδί επειδή άλλαξε η διαδρομή δεν έχει διορθώσει τίποτα.

Ένα παραβιασμένο τελικό σημείο είναι τέταρτο ερώτημα, γιατί λογισμικό με προνόμια στο δικό σας μηχάνημα μπορεί να κάνει πολύ περισσότερα από το να παρατηρεί πακέτα.

Ταξινομήστε το περιστατικό σε αυτές τις κατηγορίες πριν αγγίξετε οτιδήποτε, και δώστε σε καθεμία έναν υπεύθυνο. Κρατήστε σύντομο αρχείο για το τι ήταν αξιόπιστο, τι εκχωρήθηκε και τι επαληθεύτηκε, γιατί αυτό το αρχείο κάνει την επόμενη ανασκόπηση φθηνή αντί για άλλη μια συζήτηση. Αν κάποια κατηγορία είναι άγνωστη, γράψτε άγνωστη αντί να υποθέσετε την καλοήθη περίπτωση. Η διάκριση είναι πρακτική, όχι ακαδημαϊκή: αποφασίζει αν αντικαθιστάτε ένα διαπιστευτήριο, ανακαλείτε μια συνεδρία ή απλώς σταματάτε την προώθηση.