SSH აგენტის გადაცემა ან გასაღების კოპირება: რა ჟონავს სინამდვილეში
საჯარო გასაღებით შესვლა აგზავნის ხელმოწერას და არა პირად გასაღებს. აგენტის გადაცემა მაინც აძლევს სხვა ჰოსტს ხელმოწერის უნარს და ეს ცალკე გამოვლენაა.
ორ სხვადასხვა მოვლენას გაჟონილი SSH გასაღები ჰქვია და ისინი სხვადასხვა პასუხს მოითხოვს. საჯარო გასაღებით ავთენტიფიკაცია აგზავნის საჯარო გასაღებს და პირადი გასაღებით შექმნილ ხელმოწერას, ამიტომ პირადი გასაღები არასდროს არის მოთხოვნის ველი. აგენტის გადაცემა სხვა რამეს ამჟღავნებს, რადგან დისტანციურ ჰოსტს, რომელიც თქვენს გადაცემულ აგენტს აღწევს, შეუძლია სთხოვოს მას ხელმოწერა გასაღების ფლობის გარეშე. თუ ამ ორს ერთ მოვლენად განიხილავთ, შედეგი ან უაზრო გასაღების შეცვლაა, ან აქტიური დელეგირება.
საჯარო გასაღებით შესვლა ხელმოწერას გადასცემს და არა გასაღებს
ავთენტიფიკაციის გაცვლა ატარებს მომხმარებლის საჯარო გასაღებს და ხელმოწერას სესიის მონაცემებზე. სერვერი ამ ხელმოწერას ამოწმებს გასაღებით, რომელსაც უკვე ენდობა, ამიტომ პირადი ნახევარი კლიენტზე შეიძლება დარჩეს არასანდო ქსელის გავლით. VPN ოპერატორი, რომელიც გვირაბს აკვირდება, ნებისმიერ შემთხვევაში ხედავს დაშიფრულ SSH სესიას.
ეს პროტოკოლს აღწერს და არა გზის თითოეული ბოლო წერტილის სანდოობას. ჰოსტის იდენტობის შემოწმება ხელუხლებლად შეინარჩუნეთ, რადგან კლიენტი, რომელიც ნებისმიერ ჰოსტის გასაღებს იღებს, უარი თქვა სხვა კონტროლზე, ვიდრე აქ განხილული. ჩაჭერილი სესია და ჩაჭერილი გასაღები ცალკე აღმოჩენებია და მათგან მხოლოდ ერთია სერტიფიკატის დაკარგვა. შეინახეთ ორივე ანგარიშის ცალკე წინადადებებში.
ssh-keygen -lf ~/.ssh/id_ed25519.pub ssh -o StrictHostKeyChecking=yes [email protected]
პირველი ბრძანება ბეჭდავს საჯარო ანაბეჭდს, რათა შეადაროთ ის სერვერის ჩამონათვალს. მეორე ჰოსტის გასაღების შემოწმებას გამოკვეთილს ხდის, ნაცვლად იმისა, რომ დაეყრდნოს ნაგულისხმევ მნიშვნელობას, რომელიც არავის წაუკითხავს. გაუშვით ორივე სანამ გასაღებებზე რამეს შეცვლით, რათა საწყისი ხაზი დოკუმენტირდეს.
აგენტის გადაცემა ხელმოწერის უნარს დელეგირებს
როცა გადაცემა ჩართულია, დისტანციურ ჰოსტზე ჩნდება სოკეტი და ლოკალური აგენტი პასუხობს მის გავლით მოსულ მოთხოვნებს. ნებისმიერს, ვისაც ამ სოკეტის გამოყენება სესიის განმავლობაში შეუძლია, შეუძლია თქვენად ავთენტიფიკაცია მოახდინოს იმ ჰოსტებთან, რომლებიც ჩატვირთულ იდენტობებს იღებენ. ამის მუშაობისთვის არც ერთი პირადი გასაღები არ გადაკვეთს ქსელს.
გამოვლენა უნარია და არა ფაილი. ამიტომ გადაცემა ეკუთვნის დასახელებულ დავალებას და დასახელებულ ჰოსტს და არა ყველა კავშირს, რომელსაც ლეპტოპი ხსნის. ნახტომის ჰოსტი, რომელიც კავშირს გადასცემს გადაცემული აგენტის გარეშე, ჩვეულებრივ მთლიანად აქრობს საჭიროებას.
ssh-add -l ssh -o ForwardAgent=no [email protected] ssh -J [email protected] [email protected]
პირველი ჩამოთვლის, რომელი იდენტობები აქვს აგენტს ახლა, რაც ღირს იცოდეთ სანამ მის სოკეტს სხვა მანქანას გადასცემთ. მეორე უერთდება დელეგირების გარეშე. მესამე აჩვენებს ნახტომის ჰოსტის ნიმუშს, რომელიც ხშირად მთლიანად ცვლის გადაცემას.
აირჩიეთ პასუხი თქვენს ხელთ არსებული მტკიცებულებებით
ხელმოწერის იდენტობა, რომელიც გამოვლენილად ითვლება, მოითხოვს შეცვლისა და გაუქმების პროცესს, ასევე მისი მიღების მოხსნას იმ სერვისებიდან, რომლებიც ენდობოდნენ მას. ლეპტოპზე ასლის წაშლა ყველა სხვა ასლს უცვლელად ტოვებს. დაიწყეთ სერვისებიდან, შემდეგ გაასუფთავეთ კლიენტები.
დროებითი დელეგირების პრობლემა უფრო ვიწროა. შეწყვიტეთ გადაცემა, რომელიც საჭირო არ იყო და ინციდენტის მფლობელთან ერთად გადახედეთ, რომელი სესიები და იდენტობები მოიცავდა. გასაღების შეცვლა შეიძლება მოჰყვეს, მაგრამ ამას მტკიცებულებები წყვეტს და არა შფოთვა.
დაუკვირვებელი ექსპორტის არარსებობა მხოლოდ იმას ამტკიცებს, რომ მექანიზმი, რომლისაც გეშინოდათ, არ გამოჩნდა. ის არაფერს ამბობს იმაზე, თუ რა სხვა რამის გაკეთება შეეძლო ამ სოკეტის მეორე ბოლოში მდგარ ჰოსტს.
ანგარიშში კონტროლი ცალ-ცალკე შეინახეთ
დაიცავით პირადი მასალა, შეზღუდეთ ვის შეუძლია მისგან ხელმოწერის მოთხოვნა, შეინახეთ მეორე მხარის იდენტობა შემოწმებული. ეს სამი კონტროლია, რომლებიც ერთმანეთს აძლიერებს და არც ერთი მათგანი არ ცვლის მეორეს, როცა ხსნით რა მოხდა.
კომპრომეტირებული ლეპტოპი ან მასზე არსებული პრივილეგირებული აპლიკაცია მესამე შემთხვევაა გაცილებით ფართო ზემოქმედებით. VPN მარშრუტის შეცვლა ამას არ წყვეტს და არ აღადგენს ნდობას გასაღების მიმართ, რომელიც შეიძლება დისკიდან წაკითხულიყო.
ჩაწერეთ რომელი კომპონენტი იყო სანდო, ჩართული იყო თუ არა გადაცემა და რა დაფიქსირდა სინამდვილეში. სწორედ ეს ჩანაწერი ხდის შემდეგ გადაწყვეტილებას დასაცავს, ნაცვლად ვარაუდისა იმაზე, რას ნიშნავს გაჟონვა.