SSH કી કૉપી થઈ કે એજન્ટ ફોરવર્ડ? બે અલગ જોખમો

VPN દ્વારા SSH કી વાપરતું લોગિન એનો અર્થ એ નથી કે ખાનગી કી નેટવર્ક ઓપરેટરને સોંપાઈ ગઈ છે, અને આ આશ્વાસન લોકો સાંભળે છે તેના કરતાં સાંકડું છે. પબ્લિક-કી પ્રમાણીકરણ પબ્લિક કી અને ક્લાયન્ટ સ્થાનિક રીતે બનાવે છે તેવી સહી મોકલે છે. એજન્ટ ફોરવર્ડિંગ એ અલગ એક્સપોઝર સાથેની અલગ ગોઠવણ છે, અને તે તમે નિયંત્રિત ન કરતા મશીન પર વાપરી શકાય તેવી પ્રમાણીકરણ ક્ષમતા છોડી શકે છે. તમારો જવાબ એના પર આધાર રાખે છે કે આ બેમાંથી ખરેખર શું બન્યું.

પબ્લિક-કી પ્રમાણીકરણ શું મોકલે છે

પ્રમાણભૂત પબ્લિક-કી પદ્ધતિમાં ક્લાયન્ટ પબ્લિક કી રજૂ કરે છે, સર્વર નક્કી કરે છે કે તે કી સ્વીકારવી કે નહીં, અને ક્લાયન્ટ ખાનગી કી વડે પડકાર પર સહી કરે છે, જે તેની ફાઇલ અથવા તેના એજન્ટમાં રહે છે. નેટવર્ક પાર કરે છે પબ્લિક કી અને તેમાંથી બનતી સહી. તે આદાનપ્રદાનમાં કંઈ પણ સર્વર, ટનલ અથવા માર્ગ પરના કોઈને ખાનગી સામગ્રી રાખવાની જરૂર માંગતું નથી.

પ્રમાણીકરણ સ્પેસિફિકેશન તે પુરાવાને વ્યાખ્યાયિત કરે છે, અને ખાનગી કી વિનંતીમાં ક્ષેત્ર નથી.

આ પ્રોટોકોલ વિશેનું નિવેદન છે, સામેલ દરેક અંતિમ બિંદુ માટેનું ચરિત્ર-પ્રમાણપત્ર નથી. હોસ્ટ ઓળખની ચકાસણી હજી અકબંધ રહેવી જોઈએ, કારણ કે જે સર્વર પોતાને સાબિત કરી શકતું નથી તે તમે ધાર્યું ન હોય તેવા હેતુ માટે સહીઓ એકઠી કરી શકે છે. ભાડૂતી VM, વારસામાં મળેલો બાસ્ટિયન અને અજાણ્યું એક્સ્ટેન્શન ચલાવતો લેપટોપ ત્રણ અલગ વિશ્વાસ-પ્રશ્નો છે. તેમને ક્રિપ્ટોગ્રાફિક પ્રશ્નથી અલગ રાખો, જે ખરેખર નિર્ણીત છે.

એજન્ટ ફોરવર્ડિંગ શું પ્રતિનિધિત્વ આપે છે

એજન્ટ ફોરવર્ડિંગ દૂરના હોસ્ટથી તમારા મશીનના એજન્ટ સુધી ચેનલ ખોલે છે, જેથી તે હોસ્ટની પ્રક્રિયાઓ ખાનગી કી રાખ્યા વિના એજન્ટને સહી કરવા કહી શકે. કી જ્યાં છે ત્યાં જ રહે છે, અને ક્ષમતા નહીં. દૂરના હોસ્ટ પર તે ફોરવર્ડ થયેલા સોકેટ સુધી પહોંચી શકતી કોઈ પણ વસ્તુ, સેશનના જીવનકાળ દરમિયાન, લોડ થયેલી ઓળખોમાંથી એક તરીકે પ્રમાણીકરણ ક્રિયાઓની વિનંતી કરી શકે છે. તે પ્રતિનિધિત્વપ્રાપ્ત સત્તા છે, તેથી ફોરવર્ડિંગ પબ્લિક કી સોંપવા કરતાં સાંકડી નીતિને લાયક છે.

કૉપી કરેલી કી ફાઇલ એ જાહેરાત છે. ફોરવર્ડ કરેલું એજન્ટ એ પરવાનગી છે, અને બંનેને અલગ જવાબોની જરૂર છે.

નામિત જરૂરિયાત અને નામિત હોસ્ટ માટે ફોરવર્ડિંગ સક્ષમ કરો, અને કન્ફિગરેશન કહેતું લાગે તેના બદલે ક્લાયન્ટ ખરેખર શું કરે છે તે તપાસો. અસરકારક સેટિંગ્સ જ મહત્વની છે, કારણ કે હોસ્ટ બ્લોક ગ્લોબલ ડિફૉલ્ટને શાંતિથી ઓવરરાઇડ કરે છે. એ જ તર્ક સર્વરની બાજુએ લાગુ પડે છે, જે જ્યારે તૈનાતીને ક્યારેય જરૂર ન હોય ત્યારે ફોરવર્ડિંગ સંપૂર્ણપણે નકારી શકે છે.

જવાબ પસંદ કરતા પહેલાં પુરાવા વાંચો

જો ખાનગી કી ફાઇલ અથવા સમકક્ષ સહી ઓળખ જાહેર થઈ હોવાનું માનવામાં આવે, તો જવાબ એ છે કે તમારી સંસ્થાની પ્રક્રિયા દ્વારા બદલી અને રદ કરવી, સાથે તેના પર વિશ્વાસ કરનારી દરેક સેવામાંથી તેની સ્વીકૃતિ દૂર કરવી. એક સ્થાનિક નકલ ડિલીટ કરવાથી તમે ન જોઈ શકો તે નકલો અમાન્ય થતી નથી.

જો ચિંતા કામચલાઉ એજન્ટ ઍક્સેસની હોય, તો જવાબ વધુ સાંકડો છે: બિનજરૂરી પ્રતિનિધિત્વ બંધ કરો, સામેલ સેશન અને ઓળખોની સમીક્ષા કરો, અને ઘટનાના માલિકને નક્કી કરવા દો કે બદલી વાજબી છે કે નહીં. અહીં પુરાવા મહત્વના છે, કારણ કે કોઈ અવલોકિત નિકાસ ન હોવી એ સાબિત કરતું નથી કે કોઈ પ્રમાણીકરણનો દુરુપયોગ થયો નથી, અને ફક્ત માર્ગ બદલવો ચોરાયેલી કીનું નિદાન નથી. કયું ઘટક વિશ્વાસપાત્ર હતું, ફોરવર્ડિંગ સક્ષમ હતું કે નહીં, અને ખરેખર શું અવલોકિત થયું તે લખો. પછી ઉપલબ્ધ સૌથી નાટકીય જવાબને બદલે તે રેકોર્ડને અનુરૂપ જવાબ પસંદ કરો.

ssh-add -l
ssh -G host.example | grep -i forwardagent

ફેરફાર પહેલાં અને પછી તેમને ચલાવો જેથી સરખામણીનો અર્થ થાય. પહેલાં સ્થાપિત સેશન તેને આપવામાં આવેલું પ્રતિનિધિત્વ જાળવી રાખે છે, હવે સેટિંગ્સ શું કહે તે ગમે તે હોય.

બે નિયંત્રણો જે અદલાબદલી કરી શકાય તેવાં નથી

ખાનગી સામગ્રીનું રક્ષણ, તેની સહી કોણ માંગી શકે તે મર્યાદિત કરવું, અને સામેની બાજુની ઓળખ ચકાસવી એ ત્રણ સંબંધિત નિયંત્રણો છે, અને કોઈ પણ બીજાનું સ્થાન લેતું નથી. જે ટીમ હોસ્ટ કીઓ તપાસ્યા વિના ફોરવર્ડિંગ દૂર કરે છે તે અડધી સમસ્યા સુધારી છે. જે ટીમ માર્ગ બદલાયો તેથી કી ફેરવે છે તે કંઈ સુધારતી નથી.

જોખમમાં આવેલું અંતિમ બિંદુ ચોથો પ્રશ્ન છે, કારણ કે તમારા પોતાના મશીન પરનું વિશેષાધિકાર-પ્રાપ્ત સૉફ્ટવેર પેકેટોનું અવલોકન કરવાથી ઘણું વધુ કરી શકે છે.

કંઈ પણ સ્પર્શ કરતાં પહેલાં ઘટનાને તે શ્રેણીઓમાં ગોઠવો, અને દરેકને એક માલિક આપો. શું વિશ્વાસપાત્ર હતું, શું પ્રતિનિધિત્વ આપવામાં આવ્યું અને શું ચકાસવામાં આવ્યું તેનો ટૂંકો રેકોર્ડ રાખો, કારણ કે તે રેકોર્ડ જ બીજી ચર્ચાને બદલે આગલી સમીક્ષાને સસ્તી બનાવે છે. જો કોઈ શ્રેણી અજાણી હોય, તો નિર્દોષ સંભાવના ધારવાને બદલે અજાણી લખો. તફાવત વ્યવહારુ છે, શૈક્ષણિક નથી: તે નક્કી કરે છે કે તમે ઓળખપત્ર બદલો છો, સેશન રદ કરો છો, કે ફક્ત ફોરવર્ડિંગ બંધ કરો છો.