SSH-ügynök továbbadása vagy kulcsmásolás: mi szivárog valójában

Két különböző eseményt neveznek kiszivárgott SSH-kulcsnak, és ezek különböző válaszokat kívánnak. A nyilvános kulcsos hitelesítés nyilvános kulcsot és a titkos kulccsal készített aláírást küld, ezért a titkos kulcs soha nem mező a kérésben. Az ügynök továbbadása valami mást tesz ki, mert a távoli gazdagép, amely eléri a továbbadott ügynököt, aláírást kérhet tőle anélkül, hogy valaha birtokolná a kulcsot. Ha ezeket egy eseményként kezeljük, vagy fölösleges kulcscseréhez, vagy továbbra is futó delegáláshoz jutunk.

A nyilvános kulcsos bejelentkezés aláírást továbbít, nem a kulcsot

A hitelesítési csere a felhasználó nyilvános kulcsát és a munkamenet-adatokra vonatkozó aláírást hordozza. A kiszolgáló ezt az aláírást azzal a kulccsal ellenőrzi, amelyben már megbízik, ezért a titkos fele a kliensen maradhat egy nem megbízható hálózaton át is. A VPN-üzemeltető, aki figyeli az alagutat, mindenképpen titkosított SSH-munkamenetet lát.

Ez a protokollt írja le, nem az útvonal minden végpontjának megbízhatóságát. Tartsa érintetlenül a gazdagép-azonosító ellenőrzését, mert az a kliens, amely bármely gazdagépkulcsot elfogad, más védelemről mondott le, mint amiről itt szó van. A rögzített munkamenet és a rögzített kulcs külön megállapítás, és csak az egyikük hitelesítő adatok elvesztése. Tartsa a kettőt külön mondatokban a jelentésben is.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Az első parancs kiírja a nyilvános ujjlenyomatot, hogy összehasonlíthassa azzal, amit a kiszolgáló felsorol. A második kifejezetté teszi a gazdagépkulcs ellenőrzését ahelyett, hogy olyan alapértékre támaszkodna, amelyet senki nem olvasott el. Futtassa mindkettőt, mielőtt bármit változtat a kulcsokon, hogy az alapvonal dokumentálva legyen.

Az ügynök továbbadása az aláírási képesség delegálása

Ha a továbbadás be van kapcsolva, egy socket jelenik meg a távoli gazdagépen, és a helyi ügynök válaszol az azon keresztül érkező kérésekre. Bárki, aki a munkamenet alatt használhatja ezt a socketet, Önként tud hitelesíteni azoknál a gazdagépeknél, amelyek elfogadják a betöltött identitásokat. Egyetlen titkos kulcs sem halad át a hálózaton ehhez.

A kitettség a képesség, nem a fájl. Ezért a továbbadás egy megnevezett feladathoz és egy megnevezett gazdagéphez tartozik, nem minden kapcsolathoz, amelyet egy laptop létesít. Az ugrógazdagép, amely továbbított ügynök nélkül adja át a kapcsolatot, általában teljesen megszünteti az igényt.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Az első felsorolja, milyen identitásokat tart jelenleg az ügynök, amit érdemes tudni, mielőtt a socketjét másik gépnek adja. A második delegálás nélkül kapcsolódik. A harmadik az ugrógazdagép mintáját mutatja, amely gyakran teljesen helyettesíti a továbbadást.

Válassza ki a választ a rendelkezésére álló bizonyítékok alapján

Az aláíró identitás, amelyről feltételezik, hogy kitett, a helyettesítés és visszavonás folyamatát igényli, valamint elfogadásának eltávolítását azokból a szolgáltatásokból, amelyek megbíztak benne. A laptopon lévő másolat törlése minden más másolatot érintetlenül hagy. Kezdje a szolgáltatásokkal, majd tisztítsa meg a klienseket.

Az átmeneti delegálási probléma szűkebb. Szüntesse meg a nem szükséges továbbadást, és tekintse át az esemény tulajdonosával, mely munkameneteket és identitásokat fedte le. A kulcscsere ezután is következhet, de arról a bizonyítékok döntenek, nem az aggodalom.

A meg nem figyelt export csak azt bizonyítja, hogy a félt mechanizmus nem jelent meg. Semmit sem mond arról, mit tehetett volna még a socket túlsó végén lévő gazdagép.

Tartsa külön a védelmi elemeket a jelentésben

Védje a titkos anyagot, korlátozza, ki kérhet tőle aláírást, tartsa ellenőrzöttnek a másik fél identitását. Ez három védelem, amelyek erősítik egymást, és egyik sem helyettesíti a másikat, amikor elmagyarázza, mi történt.

A kompromittált laptop vagy a rajta futó kiemelt jogosultságú alkalmazás harmadik eset, sokkal szélesebb hatókörrel. A VPN-útvonal megváltoztatása nem oldja meg, és nem állítja vissza a bizalmat egy olyan kulcsban, amelyet esetleg leolvastak a lemezről.

Írja le, melyik összetevőben bízott, be volt-e kapcsolva a továbbadás, és mit figyeltek meg valójában. Ez a feljegyzés teszi védhetővé a következő döntést ahelyett, hogy találgatás lenne arról, mit jelent egy szivárgás.