SSH-kulcs másolat vagy továbbított ügynök? Két különböző kockázat

Az SSH-kulcsot VPN-en keresztül használó bejelentkezés nem jelenti azt, hogy a privát kulcsot átadták a hálózat üzemeltetőjének, és ez a megnyugtatás szűkebb annál, mint ahogy az emberek hallják. A nyilvános kulcsú hitelesítés egy nyilvános kulcsot és egy aláírást küld, amelyet az ügyfél helyben állít elő. Az ügynök továbbítása más elrendezés, más kitettséggel, és használható hitelesítési képességet hagyhat olyan gépen, amelyet Ön nem irányít. A válasz, amellyel tartozik, attól függ, melyik történt meg valójában.

Mit küld a nyilvános kulcsú hitelesítés

A szabványos nyilvános kulcsú módszerben az ügyfél felajánl egy nyilvános kulcsot, a kiszolgáló eldönti, elfogadja-e azt a kulcsot, és az ügyfél aláír egy kihívást a privát kulccsal, amely a fájljában vagy az ügynökében marad. Ami a hálózaton átmegy, az a nyilvános kulcs és a belőle keletkező aláírás. Ebben a cserében semmi nem követeli meg, hogy a kiszolgáló, az alagút vagy bárki az útvonalon birtokolja a privát anyagot.

A hitelesítési specifikáció meghatározza ezt a bizonyítékot, és a privát kulcs nem mező a kérésben.

Ez egy protokollról szóló kijelentés, nem jellemrajz minden érintett végpontról. A gazdagép-identitás ellenőrzésének továbbra is sértetlennek kell lennie, mert egy kiszolgáló, amely nem tudja bizonyítani, ki ő, esetleg olyan célra gyűjt aláírásokat, amelyet Ön nem szándékozott. Egy bérelt VM, egy örökölt bástya és egy ismeretlen kiterjesztést futtató laptop három külön bizalmi kérdés. Tartsa őket külön a kriptográfiaitól, amely valóban eldőlt.

Mit delegál az ügynök továbbítása

Az ügynök továbbítása csatornát nyit a távoli gazdagéptől vissza a gépén lévő ügynökhöz, így a gazdagépen futó folyamatok kérhetik az ügynököt aláírásra anélkül, hogy valaha birtokolnák a privát kulcsot. A kulcs ott marad, ahol van, a képesség nem. Bármi, ami elérheti ezt a továbbított socketet a távoli gazdagépen, a munkamenet élettartama alatt, hitelesítési műveleteket kérhet a betöltött identitások egyikeként. Ez delegált felhatalmazás, ezért a továbbítás szűkebb szabályzatot érdemel, mint egy nyilvános kulcs átadása.

Egy másolt kulcsfájl felfedés. Egy továbbított ügynök engedély, és a kettő különböző válaszokat igényel.

Engedélyezze a továbbítást egy megnevezett igényhez és megnevezett gazdagépekhez, és ellenőrizze, mit tesz valójában az ügyfél, ne azt, amit a konfiguráció mondani látszik. Az effektív beállítások számítanak, mert egy gazdagépblokk csendben felülír egy globális alapértéket. Ugyanez a logika érvényes a kiszolgáló oldalon, amely teljesen megtagadhatja a továbbítást, amikor a telepítésnek soha nincs rá szüksége.

Olvassa el a bizonyítékokat, mielőtt választ

Ha azt hiszik, hogy egy privát kulcsfájl vagy azzal egyenértékű aláíró identitás nyilvánosságra került, a válasz a csere és a visszavonás a szervezete folyamatán keresztül, valamint annak elfogadásának eltávolítása minden szolgáltatásból, amely megbízott benne. Egy helyi példány törlése nem érvényteleníti a példányokat, amelyeket nem lát.

Ha az aggodalom ideiglenes ügynök-hozzáférés, a válasz szűkebb: állítsa le a szükségtelen delegálást, vizsgálja felül az érintett munkameneteket és identitásokat, és hagyja, hogy az incidens tulajdonosa döntsön a csere indokoltságáról. A bizonyítékok itt számítanak, mert a nem megfigyelt export nem bizonyítja, hogy nem éltek vissza hitelesítéssel, és az útvonal puszta változása nem a lopott kulcs diagnózisa. Írja le, melyik komponensben bíztak, engedélyezve volt-e a továbbítás, és mit figyeltek meg valójában. Ezután válassza az ahhoz a feljegyzéshez illő választ a legdrámaibb elérhető helyett.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Futtassa őket egy változtatás előtt és után, hogy az összehasonlítás jelentsen valamit. A korábban létesített munkamenet megtartja a kapott delegálást, bármit mondanak most a beállítások.

Két ellenőrzés, amelyek nem felcserélhetők

A privát anyag védelme, annak korlátozása, ki kérhet aláírást, és a másik fél identitásának ellenőrzése három összefüggő ellenőrzés, és egyik sem helyettesíti a másikat. Az a csapat, amely a gazdagépkulcsok ellenőrzése nélkül távolítja el a továbbítást, a probléma felét javította. Az a csapat, amely az útvonal változása miatt cserél kulcsot, semmit nem javított.

Egy kompromittált végpont negyedik kérdés, mert a saját gépén futó kiemelt jogosultságú szoftver lényegesen többet tehet, mint csomagokat megfigyelni.

Rendezze az incidenst ezekbe a kategóriákba, mielőtt bármihez hozzányúlna, és adjon mindegyiknek felelőst. Vezessen rövid feljegyzést arról, miben bíztak, mit delegáltak és mit ellenőriztek, mert ez a feljegyzés teszi a következő átvizsgálást olcsóvá egy újabb vita helyett. Ha bármely kategória ismeretlen, írja azt, hogy ismeretlen, ahelyett hogy a jóindulatú esetet feltételezné. A megkülönböztetés gyakorlati, nem akadémikus: eldönti, hogy kicserél egy hitelesítő adatot, visszavon egy munkamenetet, vagy egyszerűen abbahagyja a továbbítást.