SSH agentearen birbidalketa edo gakoa kopiatzea: zer isurtzen den benetan

Bi gertaera desberdini SSH gako isuria deitzen zaie, eta erantzun desberdinak eskatzen dituzte. Gako publikoarekin egindako autentifikazioak gako publikoa eta gako pribatuarekin egindako sinadura bat bidaltzen ditu, beraz gako pribatua ez da inoiz eskaeraren eremu bat. Agentearen birbidalketak beste zerbait agerian uzten du, zure agente birbidaliarengana iristen den urruneko ostalari batek hura sinatzeko eska dezakeelako gakoa inoiz eduki gabe. Biak gertaera bakar gisa hartzeak edo beharrezkoa ez den gako-truke batera edo martxan geratzen den delegazio batera eramaten du.

Gako publikoarekin saioa hastea sinadura bat igortzen du, ez gakoa

Autentifikazio-trukeak erabiltzailearen gako publikoa eta saioaren datuen gaineko sinadura bat daramatza. Zerbitzariak sinadura hori jadanik fidatzen den gakoarekin egiaztatzen du, horregatik zati pribatua bezeroan geratu daiteke sare ez-fidagarri batean zehar. Tunela behatzen duen VPN operadoreak SSH saio zifratua ikusten du edozein kasutan.

Horrek protokoloa deskribatzen du, ez bideko mutur bakoitzaren fidagarritasuna. Mantendu ostalariaren identitatearen egiaztapena osorik, edozein ostalari-gako onartzen duen bezeroak aztertzen ari garen kontrol desberdin bat alde batera utzi baitu. Harrapatutako saio bat eta harrapatutako gako bat aurkikuntza bereiziak dira, eta horietako bat bakarrik da kredentzialen galera. Mantendu biak txostenaren esaldi bereizietan.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Lehen komandoak hatz-marka publikoa inprimatzen du zerbitzariak zerrendatzen duenarekin aldera dezazun. Bigarrenak ostalari-gakoaren egiaztapena esplizitu egiten du inork irakurri ez duen balio lehenetsi batean fidatu beharrean. Exekutatu biak gakoei buruz ezer aldatu aurretik, oinarrizko lerroa dokumentatuta gera dadin.

Agente bat birbidaltzeak sinatzeko gaitasuna delegatzen du

Birbidalketa gaituta dagoenean, socket bat agertzen da urruneko ostalarian eta agente lokalak haren bidez iristen diren eskaerei erantzuten die. Saioan zehar socket hori erabil dezakeen edonork zure izenean autentifika dezake kargatutako identitateak onartzen dituzten ostalarien aurrean. Gako pribaturik ez da sarean zehar pasatzen hori lan egin dezan.

Gaitasuna da esposizioa, ez fitxategia. Horregatik birbidalketa zeregin jakin bati eta ostalari jakin bati dagokio, eta ez ordenagailu eramangarri batek egiten duen konexio bakoitzari. Birbidalitako agenterik gabe konexioa errelaitatzen duen jauzi-ostalari batek beharra erabat kentzen du normalean.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Lehenak agenteak une honetan zein identitate dituen zerrendatzen du, beste makina bati haren socket-a eman aurretik jakitea merezi duena. Bigarrenak delegaziorik gabe konektatzen du. Hirugarrenak birbidalketa erabat ordezten duen jauzi-ostalariaren eredua erakusten du.

Aukeratu erantzuna duzun frogaetan oinarrituta

Agerian egon dela uste den sinadura-identitate batek ordezkapen eta errebokazio prozesua eskatzen du, eta harekin fidatu ziren zerbitzuek hura onartzeko gaitasuna kentzea. Zure ordenagailu eramangarrian dagoen kopia ezabatzeak beste kopia guztiak ukitu gabe uzten ditu. Hasi zerbitzuekin, eta gero garbitu bezeroak.

Aldi baterako delegazio arazo bat estuagoa da. Amaitu beharrezkoa ez zen birbidalketa, eta berrikusi gertaeraren jabearekin zein saio eta identitate estaltzen zituen. Gakoaren ordezkapena geroago etor liteke, baina frogak erabakitzen du hori, ez kezka.

Behatutako esportaziorik ez egoteak beldur zinen mekanismoa agertu ez zela baino ez du frogatzen. Ez du ezer esaten socket horren beste muturrean zegoen ostalari batek beste zer egin zezakeenari buruz.

Mantendu kontrolak bereizita txostenean

Babestu material pribatua, mugatu nori eska diezaiokeen sinadura, mantendu beste alderdiaren identitatea egiaztatuta. Elkar indartzen duten hiru kontrol dira, eta batek ere ez du bestea ordezten zer gertatu zen azaltzen duzunean.

Konprometitutako ordenagailu eramangarri bat edo haren gaineko aplikazio pribilegiatu bat hirugarren kasua da, inpaktu-eremu askoz zabalagoa duena. VPN ibilbidea aldatzeak ez du konpontzen eta diskatik irakurri ahal izan den gako batekiko konfiantza ez du berreskuratzen.

Idatzi zein osagai zen fidagarri, birbidalketa gaituta zegoen eta zer behatu zen benetan. Erregistro hori da hurrengo erabakia defendagarri egiten duena, isurketa batek zer esan nahi duen ziurtasun ezaren ordez.