Plusendado de SSH-agento kontraŭ kopiado de ŝlosilo: kio efektive likas

Du malsamaj eventoj nomiĝas likita SSH-ŝlosilo, kaj ili postulas malsamajn respondojn. Aŭtentigo per publika ŝlosilo sendas publikan ŝlosilon kaj subskribon faritan per la privata ŝlosilo, do la privata ŝlosilo neniam estas kampo en la peto. Plusendado de agento malkaŝas ion alian, ĉar fora gastiganto, kiu povas atingi vian plusenditan agenton, povas peti ĝin subskribi sen iam teni la ŝlosilon. Trakti ilin kiel unu eventon kondukas aŭ al senutila ŝlosilŝanĝo aŭ al delegado, kiu restas kuranta.

Saluto per publika ŝlosilo transsendas subskribon, ne la ŝlosilon

La aŭtentiga interŝanĝo portas la publikan ŝlosilon de la uzanto kaj subskribon super la seanco-datumoj. La servilo kontrolas tiun subskribon per la ŝlosilo, kiun ĝi jam fidas, tial la privata duono povas resti ĉe la kliento tra nefidinda reto. VPN-operaciisto, kiu observas la tunelon, vidas ĉiuokaze ĉifritan SSH-seancon.

Tio priskribas la protokolon, ne la fidindecon de ĉiu finpunkto sur la vojo. Konservu la kontrolon de gastiganta identeco sendifekta, ĉar kliento, kiu akceptas ajnan gastigantan ŝlosilon, rezignis alian kontrolon ol tiu diskutata. Kaptita seanco kaj kaptita ŝlosilo estas apartaj konkludoj, kaj nur unu el ili estas perdo de akreditiloj. Tenu ambaŭ en apartaj frazoj de la raporto.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

La unua komando presas la publikan fingrospuron, por ke vi komparu ĝin kun tio, kion la servilo listigas. La dua faras la kontrolon de la gastiganta ŝlosilo eksplicita anstataŭ fidi je defaŭlto, kiun neniu legis. Rulu ambaŭ antaŭ ol ŝanĝi ion pri ŝlosiloj, por ke la bazlinio estu dokumentita.

Plusendado de agento delegas la kapablon subskribi

Kiam plusendado estas ŝaltita, ingo aperas sur la fora gastiganto kaj la loka agento respondas petojn alvenantajn tra ĝi. Ĉiu, kiu povas uzi tiun ingon dum la seanco, povas aŭtentigi kiel vi ĉe gastigantoj, kiuj akceptas la ŝargitajn identecojn. Neniu privata ŝlosilo transiras la reton por tion ebligi.

La kapablo estas la malkaŝo, ne la dosiero. Tial plusendado apartenas al nomita tasko kaj nomita gastiganto, ne al ĉiu konekto, kiun tekokomputilo faras. Saltgastiganto, kiu plusendas la konekton sen plusendita agento, kutime forigas la bezonon tute.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

La unua listigas, kiujn identecojn la agento nun tenas, kio indas scii antaŭ ol doni ĝian ingon al alia maŝino. La dua konektiĝas sen delegado. La tria montras la ŝablonon de saltgastiganto, kiu ofte anstataŭigas plusendadon tute.

Elektu la respondon laŭ la pruvoj, kiujn vi havas

Subskriba identeco, kiu estas supozata malkaŝita, postulas la procezon de anstataŭigo kaj revoko, kaj forigon de ĝia akcepto el la servoj, kiuj fidis ĝin. Forigi la kopion sur via tekokomputilo lasas ĉiun alian kopion netuŝita. Komencu per la servoj, poste purigu la klientojn.

Provizora delegada problemo estas pli mallarĝa. Ĉesigu la plusendadon, kiu ne estis necesa, kaj revizuu kun la posedanto de la okazaĵo, kiujn seancojn kaj identecojn ĝi kovris. Ŝlosila anstataŭigo povas sekvi, sed tion decidas pruvoj, ne zorgado.

Neniu observita eksporto pruvas nur, ke la mekanismo, kiun vi timis, ne aperis. Ĝi diras nenion pri tio, kion alian gastiganto ĉe la alia fino de tiu ingo povus esti farinta.

Tenu la kontrolojn apartaj en la raporto

Protektu la privatan materialon, limigu, kiu povas peti de ĝi subskribon, tenu kontrolitan identecon de la alia flanko. Tiuj estas tri kontroloj, kiuj fortigas unu la alian, kaj neniu el ili anstataŭas alian, kiam vi klarigas, kio okazis.

Kompromitita tekokomputilo aŭ privilegia aplikaĵo sur ĝi estas tria kazo kun multe pli vasta efiko. Ŝanĝi la VPN-vojon ne solvas ĝin kaj ne restarigas fidon al ŝlosilo, kiu eble estis legita de la disko.

Notu, kiu komponanto estis fidata, ĉu plusendado estis ŝaltita kaj kio efektive estis observita. Ĝuste tiu registro faras la sekvan decidon defendebla anstataŭ konjekto pri tio, kion signifas liko.