SSH-kaai kopiearre of agent trochstjoerd? Twa ferskillende risiko's

In oanmelding dy't in SSH-kaai fia in VPN brûkt, betsjut net dat de priveekaai oan 'e netwurkoperateur oerhannige is, en dy gerêststelling is smeller as minsken hearre. Autentikaasje mei iepenbiere kaai stjoert in iepenbiere kaai en in hantekening dy't de klant lokaal makket. Agent-trochstjoering is in oare regeling mei in oare bleatstelling, en it kin in brûkbere autentikaasjemooglikheid efterlitte op in masine dy't jo net beheare. It antwurd dat jo skuldich binne, hinget ôf fan hokker fan 'e twa echt bard is.

Wat autentikaasje mei iepenbiere kaai stjoert

Yn 'e standertmetoade mei iepenbiere kaai biedt de klant in iepenbiere kaai oan, de tsjinner beslút oft er dy kaai akseptearret, en de klant ûndertekenet in útdaging mei de priveekaai, dy't yn syn bestân of syn agent bliuwt. Wat oer it net giet, is de iepenbiere kaai en de resultearjende hantekening. Neat yn dy útwikseling freget dat de tsjinner, de tunnel of immen op it paad it privee materiaal hâldt.

De autentikaasjespesifikaasje definiearret dat bewiis, en de priveekaai is gjin fjild yn it fersyk.

Dat is in útspraak oer in protokol, gjin karakterferwizing foar elk belutsen einpunt. De kontrôle fan gasthearidentiteit moat noch hiel bliuwe, want in tsjinner dy't net bewize kin wa't er is, sammelt miskien hantekeningen foar in doel dat jo net bedoelden. In hierde VM, in erfd bastion en in laptop mei in ûnbekende útwreiding binne trije aparte fertrouwensfragen. Hâld se apart fan 'e kryptografyske, dy't echt besljochte is.

Wat agent-trochstjoering delegearret

Agent-trochstjoering iepenet in kanaal fan 'e fiere gasthear werom nei de agent op jo masine, sadat prosessen op dy gasthear de agent freegje kinne om te ûndertekenjen sûnder ea de priveekaai te hâlden. De kaai bliuwt wêr't er is, en de mooglikheid net. Alles dat dat trochstjoerde socket op 'e fiere gasthear berikke kin, foar de libbensdoer fan 'e sesje, kin autentikaasje-operaasjes oanfreegje as ien fan 'e laden identiteiten. Dat is delegearre gesach, en dêrom fertsjinnet trochstjoering in smeller belied as it oerhannigjen fan in iepenbiere kaai.

In kopiearre kaai-bestân is in iepenbaring. In trochstjoerde agent is in tastimming, en de twa hawwe ferskillende antwurden nedich.

Skeakelje trochstjoering yn foar in neamde need en neamde gasthearen, en kontrolearje wat de klant echt docht ynstee fan wat de konfiguraasje seit te sizzen. Effektive ynstellings binne wat telt, want in gasthearblok oerskriuwt stil in globale standert. Deselde redenearring jildt oan 'e tsjinnerkant, dy't trochstjoering folslein wegerje kin as de ynset it nea nedich hat.

Lês it bewiis foardat jo in antwurd kieze

As in priveekaai-bestân of in lykweardige ûndertekeningsidentiteit iepenbiere is neffens it fermoeden, is it antwurd ferfanging en ynlûking fia it proses fan jo organisaasje, plus it fuortheljen fan syn akseptaasje út elke tsjinst dy't it fertroude. It wiskjen fan ien lokale kopy makket de kopyen dy't jo net sjogge net ûnjildich.

As de soarch tydlike agenttagong is, is it antwurd smeller: stop de needleaze delegaasje, besjoch de belutsen sesjes en identiteiten, en lit de eigner fan it ynsidint beslute oft ferfanging rjochtfeardige is. Bewiis is hjir wichtich, want waarnommen eksport wurdt net fûn bewiist net dat gjin autentikaasje misbrûkt is, en in paadferoaring allinnich is gjin diagnoaze fan in stellen kaai. Skriuw op hokker komponint fertroud wie, oft trochstjoering ynskeakele wie en wat echt waarnommen is. Kies dan it antwurd dat by dy registraasje past, ynstee fan it meast dramatyske dat beskikber is.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Fier se foar en nei in feroaring út, sadat de ferliking wat betsjut. In sesje dy't earder oprjochte is, hâldt de delegaasje dy't er krigen hat, wat de ynstellings no ek sizze.

Twa kontrôles dy't net útwikselber binne

Privee materiaal beskermje, beheine wa't freegje kin om it te ûndertekenjen, en de identiteit fan 'e oare partij ferifiearje binne trije besibbe kontrôles, en gjinien ferfangt in oare. In team dat trochstjoering fuorthellet sûnder gasthearkaayen te kontrolearjen, hat de helte fan in probleem reparearre. In team dat in kaai rotearret om't de rûte feroare is, hat neat reparearre.

In kompromittearre einpunt is in fjirde fraach, want befoarrjochte software op jo eigen masine kin folle mear dwaan as pakketten waarnimme.

Sortearje it ynsidint yn dy kategoryen foardat jo eat oanreitsje, en jou elk in eigner. Hâld in koarte registraasje fan wat fertroud wie, wat delegearre en wat ferifiearre, want dy registraasje is wat de folgjende beoardieling goedkeap makket ynstee fan noch in debat. As in kategory ûnbekend is, skriuw ûnbekend ynstee fan it goedaardige gefal oan te nimmen. It ûnderskied is praktysk, net akademysk: it beslút oft jo in bewiisstik ferfange, in sesje ynlûke of gewoan ophâlde mei trochstjoeren.