SSH გასაღები დაკოპირებულია თუ აგენტი გადაგზავნილი? ორი განსხვავებული რისკი

შესვლა, რომელიც SSH გასაღებს VPN-ის მეშვეობით იყენებს, არ ნიშნავს, რომ კერძო გასაღები ქსელის ოპერატორს გადაეცა, და ეს დაწყნარება უფრო ვიწროა, ვიდრე ადამიანები ისმენენ. საჯარო გასაღებით ავთენტიფიკაცია აგზავნის საჯარო გასაღებს და ხელმოწერას, რომელსაც კლიენტი ლოკალურად ქმნის. აგენტის გადაგზავნა განსხვავებული ექსპოზიციის მქონე სხვა წყობაა და შეიძლება გამოსაყენებელი ავთენტიფიკაციის უნარი დატოვოს მანქანაზე, რომელსაც თქვენ არ აკონტროლებთ. პასუხი, რომელიც გმართებთ, დამოკიდებულია იმაზე, რომელი მოხდა სინამდვილეში.

რას აგზავნის საჯარო გასაღებით ავთენტიფიკაცია

სტანდარტულ საჯარო გასაღების მეთოდში კლიენტი გვთავაზობს საჯარო გასაღებს, სერვერი წყვეტს, მიიღებს თუ არა ამ გასაღებს, და კლიენტი ხელს აწერს გამოწვევას კერძო გასაღებით, რომელიც რჩება მის ფაილში ან მის აგენტში. ქსელს კვეთს საჯარო გასაღები და მისგან მიღებული ხელმოწერა. ამ გაცვლაში არაფერი მოითხოვს, რომ სერვერს, გვირაბს ან გზაზე მყოფ ვინმეს ჰქონდეს კერძო მასალა.

ავთენტიფიკაციის სპეციფიკაცია განსაზღვრავს ამ მტკიცებულებას, და კერძო გასაღები მოთხოვნაში ველი არ არის.

ეს პროტოკოლის შესახებ განცხადებაა, არა ხასიათის ცნობა ყოველი ჩართული ბოლო წერტილისთვის. ჰოსტის იდენტობის შემოწმება კვლავ უნდა დარჩეს ხელუხლებელი, რადგან სერვერმა, რომელსაც ვერ დაამტკიცებს, ვინ არის, შეიძლება ხელმოწერები შეაგროვოს თქვენ მიერ გაუთვალისწინებელი მიზნისთვის. ნაქირავები VM, მემკვიდრეობით მიღებული ბასტიონი და უცნობ გაფართოებაზე მომუშავე ლეპტოპი სამი ცალკე ნდობის კითხვაა. გამოყავით ისინი კრიპტოგრაფიულისგან, რომელიც ნამდვილად გადაწყვეტილია.

რას ანიჭებს აგენტის გადაგზავნა

აგენტის გადაგზავნა ხსნის არხს დისტანციური ჰოსტიდან უკან თქვენი მანქანის აგენტისკენ, რათა ამ ჰოსტის პროცესებმა შეძლონ აგენტისგან ხელმოწერის თხოვნა კერძო გასაღების ხელში შეუჭერის გარეშე. გასაღები რჩება სადაც არის, ხოლო უნარი — არა. ყველაფერი, რაც შეიძლება მიაღწიოს ამ გადაგზავნილ სოკეტს დისტანციურ ჰოსტზე, სესიის სიცოცხლის განმავლობაში, შეიძლება მოითხოვოს ავთენტიფიკაციის ოპერაციები როგორც ერთ-ერთი ჩატვირთული იდენტობა. ეს დელეგირებული უფლებამოსილება არის, ამიტომ გადაგზავნა იმსახურებს უფრო ვიწრო პოლიტიკას, ვიდრე საჯარო გასაღების გადაცემა.

დაკოპირებული გასაღების ფაილი გამჟღავნებაა. გადაგზავნილი აგენტი ნებართვაა, და ორივეს სხვადასხვა პასუხი სჭირდება.

ჩართეთ გადაგზავნა დასახელებული საჭიროებისა და დასახელებული ჰოსტებისთვის, და შეამოწმეთ, რას აკეთებს კლიენტი სინამდვილეში, და არა რასაც კონფიგურაცია თითქოს ამბობს. მოქმედი პარამეტრებია მნიშვნელოვანი, რადგან ჰოსტის ბლოკი ჩუმად ცვლის გლობალურ ნაგულისხმევს. იგივე ლოგიკა ეხება სერვერის მხარეს, რომელსაც შეუძლია მთლიანად უარი თქვას გადაგზავნაზე, როცა განლაგებას ეს არასოდეს სჭირდება.

წაიკითხეთ მტკიცებულებები პასუხის არჩევამდე

თუ ითვლება, რომ კერძო გასაღების ფაილი ან ეკვივალენტური ხელმოწერის იდენტობა გამჟღავნდა, პასუხია ჩანაცვლება და გაუქმება თქვენი ორგანიზაციის პროცესით, დამატებით მისი მიღების მოცილება ყოველი სერვისიდან, რომელიც მას ენდობოდა. ერთი ლოკალური ასლის წაშლა არ აუქმებს იმ ასლებს, რომლებსაც ვერ ხედავთ.

თუ შეშფოთება დროებითი აგენტის წვდომაა, პასუხი უფრო ვიწროა: შეაჩერეთ არასაჭირო დელეგირება, გადახედეთ ჩართულ სესიებსა და იდენტობებს, და მიეცით ინციდენტის მფლობელს გადაწყვეტილება, გამართლებულია თუ არა ჩანაცვლება. მტკიცებულებას აქ მნიშვნელობა აქვს, რადგან დაუკვირვებული ექსპორტის არარსებობა არ ამტკიცებს, რომ ავთენტიფიკაცია არ იქნა ბოროტად გამოყენებული, და მარშრუტის ცვლილება მარტო არ არის მოპარული გასაღების დიაგნოზი. ჩაწერეთ, რომელ კომპონენტს ენდობოდნენ, ჩართული იყო თუ არა გადაგზავნა, და რა დაფიქსირდა სინამდვილეში. შემდეგ აირჩიეთ პასუხი, რომელიც შეესაბამება ამ ჩანაწერს და არა ყველაზე დრამატული ხელმისაწვდომი.

ssh-add -l
ssh -G host.example | grep -i forwardagent

გაუშვით ისინი ცვლილებამდე და შემდეგ, რომ შედარებას აზრი ჰქონდეს. ადრე დამყარებული სესია ინარჩუნებს მასზე მინიჭებულ დელეგირებას, რაც არ უნდა ამბობდეს პარამეტრები ახლა.

ორი კონტროლი, რომლებიც ურთიერთშემცვლელი არ არის

კერძო მასალის დაცვა, იმის შეზღუდვა, თუ ვის შეუძლია მისი ხელმოწერის თხოვნა, და მეორე მხარის იდენტობის დადასტურება სამი დაკავშირებული კონტროლია, და არც ერთი არ ცვლის მეორეს. გუნდმა, რომელიც გადაგზავნას ჰოსტის გასაღებების შემოწმების გარეშე აცილებს, პრობლემის ნახევარი გამოასწორა. გუნდმა, რომელიც გასაღებს მარშრუტის შეცვლის გამო ცვლის, არაფერი გამოასწორა.

კომპრომეტირებული ბოლო წერტილი მეოთხე კითხვაა, რადგან თქვენს მანქანაზე არსებულ პრივილეგირებულ პროგრამულ უზრუნველყოფას პაკეტების დაკვირვებაზე გაცილებით მეტი შეუძლია.

დაალაგეთ ინციდენტი ამ კატეგორიებში, სანამ რამეს შეეხებით, და თითოეულს მიეცით პატრონი. შეინახეთ მოკლე ჩანაწერი იმის შესახებ, რას ენდობოდნენ, რა დელეგირდა და რა დადასტურდა, რადგან სწორედ ეს ჩანაწერი ხდის შემდეგ გადახედვას იაფს კიდევ ერთი კამათის ნაცვლად. თუ რომელიმე კატეგორია უცნობია, დაწერეთ უცნობი და ნუ ივარაუდებთ კეთილგანწყობილ შემთხვევას. განსხვავება პრაქტიკულია და არა აკადემიური: ის წყვეტს, ცვლით თუ არა სერთიფიკატს, აუქმებთ სესიას, თუ უბრალოდ წყვეტთ გადაგზავნას.