SSH-agent foarútstjoere of in kaai kopiearje: wat der echt lekket

Twa ferskillende barren wurde lekt SSH-kaai neamd, en se freegje om ferskillende reaksjes. Autentikaasje mei in iepenbiere kaai stjoert in iepenbiere kaai en in hantekening makke mei de partikuliere kaai, sadat de partikuliere kaai nea in fjild yn it fersyk is. Foarútstjoeren fan in agent bleatstelt wat oars, want in fiere host dy't by jo foarútstjoerde agent komme kin, kin him freegje om te tekenjen sûnder ea de kaai te hâlden. As jo dizze beide as ien barren behannelje, einigje jo of mei in sinleaze kaaiwiksel of mei in delegaasje dy't oan bliuwt.

Oanmelde mei in iepenbiere kaai stjoert in hantekening, net de kaai

De autentikaasje-útwikseling draacht de iepenbiere kaai fan de brûker en in hantekening oer de sesjegegevens. De tsjinner kontrolearret dy hantekening tsjin de kaai dy't er al fertrout, dêrom kin de partikuliere helte by de klant bliuwe oer in net betrouber netwurk. In VPN-operator dy't de tunnel besjocht, sjocht hoe dan ek in fersifere SSH-sesje.

Dat beskriuwt it protokol, net de betrouberens fan elk einpunt op it paad. Hâld de ferifikaasje fan hostidentiteit yntakt, want in klant dy't elke hostkaai akseptearret, hat in oare kontrôle opjûn as dejinge dy't hjir besprutsen wurdt. In ûnderskepte sesje en in ûnderskepte kaai binne aparte befinings, en mar ien fan beide is in ferlies fan oanmeldgegevens. Hâld de beide ek yn aparte sinnen fan it ferslach.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

It earste kommando prints it iepenbiere fingerprint sadat jo it fergelykje kinne mei wat de tsjinner listet. It twadde makket de hostkaai-kontrôle eksplisyt ynstee fan te fertrouwen op in standertwearde dy't nimmen lêzen hat. Rinnet beide foar't jo wat oan kaaien feroarje, sadat de basisline dokumintearre is.

Foarútstjoeren fan in agent delegearret de mooglikheid om te tekenjen

As foarútstjoeren oan stiet, ferskynt in socket op 'e fiere host en beantwurdet de lokale agent fersiken dy't der trochhinne komme. Elkenien dy't dat socket yn 'e sesje brûke kin, kin him as jo autentisearje by hosts dy't de laden identiteiten akseptearje. Gjin partikuliere kaai giet oer it netwurk om dat wurkje te litten.

De mooglikheid is de bleatstelling, net it bestân. Dêrom heart foarútstjoeren by in neamd taak en in neamde host, net by elke ferbining dy't in laptop makket. In springhost dy't de ferbining trochjout sûnder in foarútstjoerde agent, hellet de needsaak meastentiids hielendal fuort.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

It earste listet hokker identiteiten de agent op dit stuit hat, wat it witten wurdich is foar't jo syn socket oan in oare masine jouwe. It twadde ferbynt sûnder delegaasje. It tredde lit it patroan fan de springhost sjen dat foarútstjoeren faak hielendal ferfangt.

Kies de reaksje op grûn fan it bewiis dat jo hawwe

In tekenjende identiteit dy't as bleatsteld beskôge wurdt, freget om it proses fan ferfangen en weromlûken, en om it fuortheljen fan har akseptaasje by de tsjinsten dy't har fertrout hawwe. It wiskjen fan 'e kopy op jo laptop lit elke oare kopy ûnoantaaste. Begjin by de tsjinsten, meitsje dan de klanten skjin.

In tydlik delegaasjeprobleem is smeller. Einigje it foarútstjoeren dat net nedich wie, en besjoch mei de eigner fan it foarfal hokker sesjes en identiteiten it besloech. Ferfanging fan 'e kaai kin noch folgje, mar it bewiis beslút dat, net de soarch.

Gjin waarnommen eksport bewiist allinne dat it meganisme dêr't jo benaud foar wiene, net ferskynd is. It seit neat oer wat in host oan 'e oare kant fan dat socket noch dwaan kinnen hie.

Hâld de kontrôles apart yn it ferslach

Beskermje it partikuliere materiaal, behein wa't der om in hantekening freegje kin, hâld de ferifisearre identiteit fan 'e oare partij. Dat binne trije kontrôles dy't inoar fersterkje, en net ien fan har ferfangt in oare as jo útlizze wat der bard is.

In kompromittearre laptop of in privilegiearre applikaasje dêrop is in tredde gefal mei in folle breder berik. It feroarjen fan de VPN-route lost it net op en bringt it fertrouwen yn in kaai net werom dy't mooglik fan 'e skiif lêzen is.

Skriuw op hokker komponint fertroude, oft foarútstjoeren oan stie en wat der echt waarnommen is. Krekt dat ferslach makket it folgjende beslút ferdigenber, ynstee fan in gissing oer wat in lek betsjut.