SSH գործակալի փոխանցումը ընդդեմ բանալու պատճենման՝ ինչն է իրականում արտահոսում

Երկու տարբեր դեպքեր անվանում են արտահոսած SSH բանալի, և դրանք տարբեր արձագանք են պահանջում։ Հանրային բանալիով նույնականացումը ուղարկում է հանրային բանալի և գաղտնի բանալիով պատրաստված ստորագրություն, ուստի գաղտնի բանալին երբեք հարցման դաշտ չէ։ Գործակալի փոխանցումը բացահայտում է այլ բան, քանի որ հեռավոր հոսթը, որը հասնում է ձեր փոխանցված գործակալին, կարող է խնդրել նրան ստորագրել՝ առանց երբևէ բանալին ունենալու։ Եթե դրանք դիտարկվում են որպես մեկ դեպք, արդյունքը կա՛մ անիմաստ բանալու փոխարինումն է, կա՛մ ակտիվ մնացած պատվիրակումը։

Հանրային բանալիով մուտքը փոխանցում է ստորագրություն, ոչ բանալին

Նույնականացման փոխանակումը կրում է օգտատիրոջ հանրային բանալին և ստորագրություն՝ սեսիայի տվյալների վրա։ Սերվերը ստուգում է այդ ստորագրությունը այն բանալիով, որին արդեն վստահում է, դրա համար էլ գաղտնի կեսը կարող է մնալ հաճախորդի վրա՝ անվստահելի ցանցով։ VPN օպերատորը, որը դիտում է թունելը, ամեն դեպքում տեսնում է գաղտնագրված SSH սեսիա։

Սա նկարագրում է արձանագրությունը, ոչ թե ուղու յուրաքանչյուր վերջնակետի վստահելիությունը։ Պահեք հոսթի ինքնության ստուգումը անվնաս, որովհետև ցանկացած հոսթի բանալի ընդունող հաճախորդը հրաժարվել է այստեղ քննարկվողից տարբեր վերահսկողությունից։ Գրավված սեսիան և գրավված բանալին առանձին հայտնաբերումներ են, և դրանցից միայն մեկն է մուտքի տվյալների կորուստ։ Պահեք երկուսը զեկույցի առանձին նախադասություններում։

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Առաջին հրամանը տպում է հանրային մատնահետքը, որպեսզի համեմատեք այն սերվերի ցանկի հետ։ Երկրորդը հոսթի բանալու ստուգումը դարձնում է բացահայտ՝ փոխարենը չհենվելով լռելյայն արժեքի վրա, որը ոչ ոք չի կարդացել։ Գործարկեք երկուսը նախքան բանալիների հետ կապված որևէ փոփոխություն, որպեսզի ելակետը փաստաթղթավորվի։

Գործակալի փոխանցումը պատվիրակում է ստորագրելու հնարավորությունը

Երբ փոխանցումը միացված է, հեռավոր հոսթի վրա հայտնվում է սոքեթ, և տեղական գործակալը պատասխանում է դրա միջով եկող հարցումներին։ Ով այդ սոքեթը կարող է օգտագործել սեսիայի ընթացքում, կարող է ներկայանալ որպես դուք այն հոսթերի առջև, որոնք ընդունում են բեռնված ինքնությունները։ Ոչ մի գաղտնի բանալի չի անցնում ցանցով, որ դա աշխատի։

Բացահայտումը հնարավորությունն է, ոչ թե ֆայլը։ Դրա համար փոխանցումը պատկանում է անվանված առաջադրանքի և անվանված հոսթի, ոչ թե նոթբուքի յուրաքանչյուր միացման։ Նետման հոսթը, որը միացումը փոխանցում է առանց փոխանցված գործակալի, սովորաբար ամբողջությամբ վերացնում է կարիքը։

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Առաջինը թվարկում է, թե գործակալը ներկայումս որ ինքնություններն ունի, ինչը արժե իմանալ նախքան նրա սոքեթը այլ մեքենայի հանձնելը։ Երկրորդը միանում է առանց պատվիրակման։ Երրորդը ցույց է տալիս նետման հոսթի օրինաչափությունը, որը հաճախ ամբողջությամբ փոխարինում է փոխանցմանը։

Ընտրեք արձագանքը ձեր ունեցած ապացույցներով

Բացահայտված համարվող ստորագրող ինքնությունը պահանջում է փոխարինման և չեղարկման գործընթաց, ինչպես նաև դրա ընդունման հեռացում այն ծառայություններից, որոնք վստահում էին դրան։ Ձեր նոթբուքի վրա պատճենը ջնջելը թողնում է մնացած բոլոր պատճենները անձեռնմխելի։ Սկսեք ծառայություններից, ապա մաքրեք հաճախորդները։

Ժամանակավոր պատվիրակման խնդիրն ավելի նեղ է։ Դադարեցրեք այն փոխանցումը, որը պետք չէր, և միջադեպի տիրոջ հետ վերանայեք, թե որ սեսիաներն ու ինքնություններն էր այն ընդգրկում։ Բանալու փոխարինումը կարող է հաջորդել, բայց դա որոշում են ապացույցները, ոչ թե անհանգստությունը։

Դիտարկված արտահանման բացակայությունը միայն ապացուցում է, որ ձեր վախեցած մեխանիզմը չի հայտնվել։ Այն ոչինչ չի ասում այն մասին, թե ինչ այլ բան կարող էր անել այդ սոքեթի մյուս ծայրի հոսթը։

Զեկույցում վերահսկիչները պահեք առանձին

Պաշտպանեք գաղտնի նյութը, սահմանափակեք, թե ով կարող է նրանից ստորագրություն խնդրել, պահեք մյուս կողմի ինքնությունը ստուգված։ Դրանք երեք վերահսկիչ են, որոնք ուժեղացնում են միմյանց, և դրանցից ոչ մեկը չի փոխարինում մյուսին, երբ բացատրում եք, թե ինչ պատահեց։

Վտանգված նոթբուքը կամ դրա վրա արտոնյալ հավելվածը երրորդ դեպքն է՝ շատ ավելի լայն ազդեցության շառավղով։ VPN երթուղու փոփոխությունը այն չի լուծում և չի վերականգնում վստահությունը բանալու նկատմամբ, որը գուցե կարդացվել է սկավառակից։

Գրեք, թե որ բաղադրիչին էին վստահում, միացվա՞ծ էր փոխանցումը և ինչ էր իրականում դիտարկվել։ Հենց այդ գրառումն է դարձնում հաջորդ որոշումը պաշտպանելի՝ արտահոսքի իմաստի մասին ենթադրության փոխարեն։