Framsending SSH-umboðsaðila eða afritun lykils: hvað lekur í raun

Tveir ólíkir atburðir eru kallaðir lekið SSH-lykill, og þeir krefjast ólíkra viðbragða. Auðkenning með opinberum lykli sendir opinberan lykil og undirskrift sem gerð er með einkalyklinum, svo einkalykillinn er aldrei reitur í beiðninni. Framsending umboðsaðila afhjúpar eitthvað annað, því fjarlægur vélþjónn sem nær í framsenda umboðsaðilann þinn getur beðið hann um að undirrita án þess að hafa lykilinn nokkurn tíma. Ef þessir tveir eru meðhöndlaðir sem einn atburður endar það annaðhvort í tilgangslausri lykilaskipti eða í framsali sem heldur áfram að keyra.

Innskráning með opinberum lykli flytur undirskrift, ekki lykilinn

Auðkenningarskiptin bera opinberan lykil notandans og undirskrift yfir lotugögn. Vélþjónninn athugar þá undirskrift gegn lyklinum sem hann treystir þegar, þess vegna getur einkahlutinn verið eftir hjá biðlarann gegnum ótraustan net. VPN-stjórnandi sem fylgist með göngunum sér dulkóðaða SSH-lotu hvort eð er.

Það lýsir samskiptareglunum, ekki áreiðanleika hvers endapunkts á leiðinni. Haltu auðkenningu vélþjónsins ósnortinni, því biðlari sem samþykkir hvaða vélþjónslykil sem er hefur látið af hendi annað eftirlit en það sem rætt er hér. Lota sem var handtekin og lykill sem var handtekinn eru aðskildar niðurstöður, og aðeins önnur þeirra er tap á auðkennum. Haltu þeim báðum í aðskildum setningum skýrslunnar.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Fyrsta skipunin prentar opinbera fingrafarið svo þú getir borið það saman við það sem vélþjónninn listar. Önnur gerir athugun vélþjónslykilsins skýra í stað þess að treysta sjálfgefnu gildi sem enginn las. Keyrðu báðar áður en þú breytir einhverju varðandi lykla, svo grunnlínan sé skjalfest.

Framsending umboðsaðila framselur getuna til að undirrita

Þegar framsending er virk birtist sía á fjarlæga vélþjóninum og staðbundni umboðsaðilinn svarar beiðnum sem berast gegnum hana. Hver sem getur notað þá síu í lotunni getur auðkennt sig sem þig gagnvart vélþjónum sem samþykkja hlaðnar auðkennir. Enginn einkalykill fer yfir netið til að það virki.

Váin er getan, ekki skráin. Þess vegna tilheyrir framsending nafngreindu verkefni og nafngreindum vélþjóni, ekki hverri tengingu sem fartölva tekur. Stökkvélþjónn sem endursendir tenginguna án framsends umboðsaðila fjarlægir venjulega þörfina algjörlega.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Sú fyrsta listar hvaða auðkenni umboðsaðilinn hefur núna, sem er þess virði að vita áður en þú afhendir síu hans annarri vél. Önnur tengist án framsals. Þriðja sýnir mynstrið með stökkvélþjóni sem kemur oft í stað framsendingar algjörlega.

Veldu viðbragðið út frá þeim sönnunum sem þú hefur

Undirritunarauðkenni sem talið er afhjúpað krefst ferlis um endurnýjun og afturköllun, og að samþykki þess sé fjarlægt úr þjónustunum sem treystu því. Að eyða afritinu í fartölvunni lætur hvert annað afrit ósnortið. Byrjaðu á þjónustunum og hreinsaðu svo biðlarana.

Tímabundið framsalsvandamál er þrengra. Stöðvaðu framsendinguna sem var ekki nauðsynleg, og farðu yfir með eiganda atviksins hvaða lotur og auðkenni hún náði yfir. Lykilaskipti geta fylgt, en sönnunargögn ráða því, ekki áhyggjur.

Engin athuguð útflutningur sannar aðeins að fyrirkomulagið sem þú óttaðist birtist ekki. Það segir ekkert um hvað annað vélþjónn hinum megin við síuna hefði getað gert.

Haltu stýringunum aðskildum í skýrslunni

Verndaðu einkaeignina, takmarkaðu hver geti beðið hana um undirskrift, haltu auðkenndu hlutverki gagnaðilans. Þetta eru þrjár stýringar sem styrkja hver aðra, og engin þeirra kemur í stað annarrar þegar þú útskýrir hvað gerðist.

Smitað fartölva eða forrit með sérréttindum á henni er þriðja tilvikið með mun víðtækari áhrif. Að breyta VPN-leiðinni leysir það ekki og endurheimtir ekki traust á lykli sem kann að hafa verið lesinn af disknum.

Skrifaðu niður hvaða eining var treyst, hvort framsending var virk og hvað var í raun athugað. Sú skrá er það sem gerir næstu ákvörðun verjanlega í stað ágiskunar um hvað leki þýðir.