SSH gakoa kopiatuta edo agentea birbidalita? Bi arrisku desberdin

VPN baten bidez SSH gakoa erabiltzen duen saioa ez da esan nahi gako pribatua sareko operadoreari eman zitzaionik, eta lasaitasun hori jendeak entzuten duena baino estuagoa da. Gako publikoaren autentifikazioak gako publiko bat eta bezeroak lokalean sortzen duen sinadura bat bidaltzen ditu. Agentearen birbidalketa esposizio desberdineko beste antolamendu bat da, eta kontrolatzen ez duzun makin batean autentifikazio gaitasun erabilgarria utz dezake. Zor duzun erantzuna bi horietako zein gertatu zen benetan jakitearen mende dago.

Zer bidaltzen du gako publikoaren autentifikazioak

Gako publikoaren metodo estandarrean bezeroak gako publiko bat eskaintzen du, zerbitzariak gako hori onartzen duen erabakitzen du, eta bezeroak erronka bat sinatzen du gako pribatuarekin, zeina bere fitxategian edo bere agentean geratzen den. Sarea zeharkatzen duena gako publikoa eta hortik ateratzen den sinadura dira. Truke horretan ezerk ez du eskatzen zerbitzariak, tunelak edo bidean dagoen inork material pribatua edukitzea.

Autentifikazio zehaztapenak froga hori definitzen du, eta gako pribatua ez da eskaerako eremu bat.

Hori protokolo bati buruzko baieztapen bat da, ez inplikatutako mutur bakoitzaren izaera-erreferentzia. Ostalariaren identitatearen egiaztapenak osorik egon behar du oraindik, zeren bere burua frogatu ezin duen zerbitzari batek asmo ez zenukeen helburu baterako sinadurak biltzen ari baitaiteke. Alokatutako VM bat, heredatutako bastioi bat eta luzapen ezezaguna duen ordenagailu eramangarri bat hiru konfiantza-galdera bereizi dira. Mantendu itzazu kriptografikoarengandik bereizita, benetan konponduta dagoena.

Zer delegatzen du agentearen birbidalketak

Agentearen birbidalketak kanal bat irekitzen du urrutiko ostalaritik zure makinako agentearen aldera, horrela ostalari horretako prozesuek agentearekin sinatzea eskatu ahal izateko, inoiz gako pribatua eduki gabe. Gakoa dagoen tokian geratzen da, eta gaitasuna ez. Birbidalitako socket horretara irits daitekeen edozerk, saioaren bizitzan zehar, autentifikazio-eragiketak eskatu ahal ditu kargatutako identitateetako bat gisa. Horixe da agintaritza delegatua, eta horregatik birbidalketak gako publiko bat ematea baino politika estuagoa merezi du.

Kopiatutako gako-fitxategi bat ezagutaraztea da. Birbidalitako agente bat baimen bat da, eta bik erantzun desberdinak behar dituzte.

Gaitu birbidalketa behar izendatu bat eta ostalari izendatu batzuetarako, eta egiaztatu bezeroak benetan zer egiten duen, konfigurazioak esaten duela ematen duenaren ordez. Ezarpen eraginkorrak dira garrantzitsuak, ostalari-bloke batek isilean gainditzen baitu balio lehenetsi global bat. Arrazoibide bera aplikatzen da zerbitzariaren aldean, zeinak birbidalketa erabat uka dezakeen hedapenak inoiz behar ez duenean.

Irakurri ebidentziak erantzuna aukeratu aurretik

Gako pribatuen fitxategi bat edo baliokidea den sinatze-identitate bat agerian geratu dela uste bada, erantzuna ordezkatzea eta errebokatzea da zure erakundearen prozesuaren bidez, gehi bere onarpena haren mende zeuden zerbitzu guztietatik kentzea. Kopia lokal bat ezabatzeak ez ditu baliogabetzen ikusten ez dituzun kopiak.

Keinu hori aldi baterako agente-sarbidea bada, erantzuna estuagoa da: gelditu beharrezkoa ez den delegazioa, berrikusi inplikatutako saioak eta identitateak, eta utzi gertakariaren jabeak erabakitzea ordezkatzea justifikatuta dagoen. Ebidentziak hemen garrantzitsuak dira, zeren behatutako esportaziorik ez egoteak ez baitu frogatzen autentifikazioaren erabilera okerrik izan ez zenik, eta bide-aldaketa hutsak ez baitu lapurtutako gako baten diagnosia egiten. Idatzi zein osagarri zen fidagarria, birbidalketa gaituta zegoen eta zer behatu zen benetan. Gero aukeratu erregistro horri egokitzen zaion erantzuna, eskuragarri dagoen dramatikoena beharrean.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Exekutatu itzazu aldaketa baten aurretik eta ondoren, konparazioak zentzua izan dezan. Aurretik ezarritako saio batek eman zitzaion delegazioa gordetzen du, ezarpenek orain diotena edozein dela ere.

Bihurkorrak ez diren bi kontrol

Material pribatua babestea, sinatzeko nor eska dezakeen mugatzea eta beste alderdiaren identitatea egiaztatzea erlazionatutako hiru kontrol dira, eta batek ez du bestea ordezkatzen. Birbidalketa ostalari-gakoak egiaztatu gabe kentzen duen talde batek arazoaren erdia konpondu du. Bidea aldatu delako gako bat biratzen duen talde batek ez du ezer konpondu.

Konprometitutako mutur bat laugarren galdera da, zure makinako software pribilegiatuak paketeak behatzeak baino askoz gehiago egin baitezake.

Sailkatu gertakaria kategoria horietan ezer ukitu aurretik, eta eman bakoitzari jabe bat. Idatzi erregistro labur bat fidagarria zena, delegatua zena eta egiaztatua zena, erregistro horrek egiten baitu hurrengo berrikuspena merkea beste eztabaida bat izan beharrean. Kategoriaren bat ezezaguna bada, idatzi ezezaguna kasu onberea suposatu beharrean. Bereizketa praktikoa da, ez akademikoa: erabakitzen du kredentzial bat ordezkatzen duzun, saio bat errebokatzen duzun edo birbidalketa besterik gabe uzten duzun.