Ĉu SSH-ŝlosilo kopiita aŭ agento plusendita? Du malsamaj riskoj

Ensaluto, kiu uzas SSH-ŝlosilon tra VPN, ne signifas, ke la privata ŝlosilo estis transdonita al la retfunkciiganto, kaj tiu trankviligo estas pli mallarĝa ol oni aŭdas. Publikŝlosila aŭtentikigo sendas publikan ŝlosilon kaj subskribon, kiun la kliento produktas loke. Agentplusendado estas alia aranĝo kun alia elmetiĝo, kaj ĝi povas lasi uzeblan aŭtentikigan kapablon sur maŝino, kiun vi ne kontrolas. La respondo, kiun vi ŝuldas, dependas de tio, kiu el la du efektive okazis.

Kion sendas publikŝlosila aŭtentikigo

En la norma publikŝlosila metodo la kliento proponas publikan ŝlosilon, la servilo decidas, ĉu ĝi akceptas tiun ŝlosilon, kaj la kliento subskribas defion per la privata ŝlosilo, kiu restas en sia dosiero aŭ sia agento. Tio, kio transiras la reton, estas la publika ŝlosilo kaj la rezulta subskribo. Nenio en tiu interŝanĝo postulas, ke la servilo, la tunelo aŭ iu ajn laŭ la vojo tenu la privatan materialon.

La aŭtentikiga specifikaĵo difinas tiun pruvon, kaj la privata ŝlosilo ne estas kampo en la peto.

Tio estas aserto pri protokolo, ne karaktera referenco por ĉiu implikita finpunkto. La kontrolo de gastiga identeco ankoraŭ devas resti sendifekta, ĉar servilo, kiu ne povas pruvi, kiu ĝi estas, eble kolektas subskribojn por celo, kiun vi ne intencis. Luata VM, heredita bastiono kaj tekkomputilo kun nekonata etendaĵo estas tri apartaj fidodemandoj. Tenu ilin aparte de la kriptografia, kiu estas vere solvita.

Kion delegas agentplusendado

Agentplusendado malfermas kanalon de la fora gastigo reen al la agento sur via maŝino, tiel ke procezoj sur tiu gastigo povas peti la agenton subskribi sen iam teni la privatan ŝlosilon. La ŝlosilo restas kie ĝi estas, kaj la kapablo ne. Ĉio, kio povas atingi tiun plusenditan ingon sur la fora gastigo, dum la vivo de la seanco, povas peti aŭtentikigajn operaciojn kiel unu el la ŝargitaj identecoj. Tio estas delegita aŭtoritato, kaj tial plusendado meritas pli mallarĝan politikon ol transdoni publikan ŝlosilon.

Kopiita ŝlosila dosiero estas malkaŝo. Plusendita agento estas permeso, kaj la du bezonas malsamajn respondojn.

Ŝaltu plusendadon por nomita bezono kaj nomitaj gastigoj, kaj kontrolu, kion la kliento efektive faras anstataŭ kion la agordo ŝajnas diri. La efikaj agordoj estas tio, kio gravas, ĉar gastiga bloko silente superregas tutmondan defaŭlton. La sama rezonado validas ĉe la servila flanko, kiu povas tute rifuzi plusendadon, kiam la lanĉado neniam bezonas ĝin.

Legi la pruvojn antaŭ ol elekti respondon

Se oni kredas, ke privata ŝlosila dosiero aŭ ekvivalenta subskriba identeco estis elmetita, la respondo estas anstataŭigo kaj revoko per la procezo de via organizo, plus forigo de ĝia akcepto el ĉiu servo, kiu fidis ĝin. Forigi unu lokan kopion ne malvalidigas la kopiojn, kiujn vi ne vidas.

Se la zorgo estas provizora agenta aliro, la respondo estas pli mallarĝa: haltigu la senbezonan delegadon, revizuu la koncernajn seancojn kaj identecojn, kaj lasu la posedanton de la okazaĵo decidi, ĉu anstataŭigo estas pravigita. Pruvoj gravas ĉi tie, ĉar neniu observita eksporto ne pruvas, ke neniu aŭtentikigo estis misuzita, kaj ŝanĝo de vojo sola ne estas diagnozo de ŝtelita ŝlosilo. Skribu, kiu komponanto estis fidata, ĉu plusendado estis ŝaltita, kaj kio efektive estis observita. Poste elektu la respondon, kiu konvenas al tiu registro, anstataŭ la plej drama havebla.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Rulu ilin antaŭ kaj post ŝanĝo, por ke la komparo signifu ion. Seanco establita pli frue konservas la delegadon, kiun ĝi ricevis, kion ajn la agordoj nun diras.

Du regiloj, kiuj ne estas interŝanĝeblaj

Protekti privatan materialon, limigi, kiu povas peti ĝian subskribon, kaj kontroli la identecon de la kontraŭulo estas tri rilataj regiloj, kaj neniu anstataŭas alian. Teamo, kiu forigas plusendadon sen kontroli gastigajn ŝlosilojn, riparis duonon de problemo. Teamo, kiu rotacias ŝlosilon ĉar la vojo ŝanĝiĝis, riparis nenion.

Kompromitita finpunkto estas kvara demando, ĉar privilegiita programaro sur via propra maŝino povas fari konsiderinde pli ol observi pakaĵojn.

Ordigu la okazaĵon en tiujn kategoriojn antaŭ ol tuŝi ion ajn, kaj donu al ĉiu posedanton. Konservu mallongan registron pri tio, kio estis fidata, kio delegita kaj kio kontrolita, ĉar tiu registro igas la sekvan revizion malmultekosta anstataŭ plia debato. Se iu kategorio estas nekonata, skribu nekonata anstataŭ supozi la benignan kazon. La distingo estas praktika, ne akademia: ĝi decidas, ĉu vi anstataŭigas akreditilon, revokas seancon aŭ simple ĉesas plusendadon.