SSH-võti kopeeritud või agent edasi antud? Kaks erinevat riski

VPN-i kaudu SSH-võtit kasutav sisselogimine ei tähenda, et privaatvõti anti võrguoperaatorile üle, ja see rahustus on kitsam, kui inimesed kuulevad. Avaliku võtme autentimine saadab avaliku võtme ja allkirja, mille klient loob kohapeal. Agendi edasisaatmine on teistsuguse kokkupuutega teistsugune lahendus ja võib jätta kasutatava autentimisvõime masinasse, mida te ei kontrolli. Vastus, mille võlgnete, sõltub sellest, kumb neist kahest tegelikult juhtus.

Mida avaliku võtme autentimine saadab

Tavalises avaliku võtme meetodis pakub klient avalikku võtit, server otsustab, kas ta selle võtme vastu võtab, ja klient allkirjastab väljakutse privaatvõtmega, mis jääb tema faili või tema agendi juurde. Võrgu kaudu liiguvad avalik võti ja sellest tulenev allkiri. Miski selles vahetuses ei nõua, et server, tunnel või keegi teel hoiaks privaatset materjali.

Autentimisspetsifikatsioon määratleb selle tõendi ja privaatvõti ei ole päringus väli.

See on väide protokolli kohta, mitte iseloomustus iga kaasatud lõpp-punkti kohta. Hostide identiteedi kontroll peab endiselt terve olema, sest server, mis ei suuda tõestada, kes ta on, võib koguda allkirju eesmärgil, mida te ei kavatsenud. Renditud VM, päritud bastion ja võõrast laiendust käitav sülearvuti on kolm eraldi usaldusküsimust. Hoidke neid eraldi krüptograafilisest, mis on tõesti lahendatud.

Mida agendi edasisaatmine delegeerib

Agendi edasisaatmine avab kanali kaugserverist tagasi teie masina agendi juurde, nii et selle serveri protsessid saavad paluda agendil allkirjastada, ilma et nad kunagi privaatvõtit hoiavad. Võti jääb sinna, kus ta on, ja võime mitte. Kõik, mis pääseb selle edasisaadetud soketini kaugserveris, sessiooni eluea jooksul, saab taotleda autentimistoiminguid ühe laaditud identiteedina. See on delegeeritud volitus, mistõttu edasisaatmine väärib kitsamat poliitikat kui avaliku võtme üleandmine.

Kopeeritud võtmefail on avalikustamine. Edasisaadetud agent on luba ja need kaks vajavad erinevaid vastuseid.

Lubage edasisaatmine nimetatud vajaduse ja nimetatud hostide jaoks ning kontrollige, mida klient tegelikult teeb, mitte seda, mida konfiguratsioon ütlevat näib. Loeb tegelik seadistus, sest hostiplokk alistab vaikselt üldise vaikeväärtuse. Sama loogika kehtib serveripool, mis võib edasisaatmise täielikult keelduda, kui juurutus ei vaja seda kunagi.

Lugege tõendeid enne vastuse valimist

Kui arvatakse, et privaatvõtmefail või samaväärne allkirjastamisidentiteet on paljastunud, on vastuseks asendamine ja tühistamine teie organisatsiooni protsessi kaudu, lisaks selle vastuvõtmise eemaldamine igast teenusest, mis seda usaldas. Ühe kohaliku koopia kustutamine ei muuda kehtetuks koopiaid, mida te ei näe.

Kui mure on ajutine agendipääs, on vastus kitsam: peatage mittevajalik delegeerimine, vaadake üle asjassepuutuvad sessioonid ja identiteedid ning laske juhtumi omanikul otsustada, kas asendamine on põhjendatud. Tõendid loevad siin, sest täheldatud ekspordi puudumine ei tõesta, et autentimist ei kuritarvitatud, ja ainuüksi tee muutumine ei ole varastatud võtme diagnoos. Kirjutage üles, millist komponenti usaldati, kas edasisaatmine oli lubatud ja mida tegelikult täheldati. Seejärel valige vastus, mis sobib selle kirjega, mitte kõige dramaatilisem saadaolev.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Käivitage need enne ja pärast muudatust, et võrdlus midagi tähendaks. Varem loodud sessioon säilitab delegeerimise, mis talle anti, ükskõik mida seadistus praegu ütleb.

Kaks kontrolli, mida ei saa vahetada

Privaatse materjali kaitsmine, selle piiramine, kes võib paluda allkirjastamist, ja vastaspoole identiteedi kontrollimine on kolm seotud kontrolli ja ükski ei asenda teist. Meeskond, kes eemaldab edasisaatmise ilma hostivõtmeid kontrollimata, on parandanud pool probleemi. Meeskond, kes pöörab võtit, sest marsruut muutus, ei ole parandanud midagi.

Kahjustatud lõpp-punkt on neljas küsimus, sest privilegeeritud tarkvara teie enda masinas võib teha palju enamat kui pakette jälgida.

Sortige juhtum nendesse kategooriatesse enne millegi puudutamist ja andke igale omanik. Pidage lühikest kirjet selle kohta, mida usaldati, mida delegeeriti ja mida kontrolliti, sest just see kirje teeb järgmise ülevaatuse odavaks teise vaidluse asemel. Kui mõni kategooria on teadmata, kirjutage teadmata, selle asemel et eeldada healoomulist juhtu. Erinevus on praktiline, mitte akadeemiline: see otsustab, kas asendate mandaadi, tühistate sessiooni või lihtsalt lõpetate edasisaatmise.