SSH агентін жіберу немесе кілтті көшіру: шын мәнінде не ағып кетеді

Екі түрлі оқиғаны ағып кеткен SSH кілті деп атайды және олар әртүрлі жауап талап етеді. Ашық кілтпен аутентификациялау ашық кілтті және жеке кілтпен жасалған қолтаңбаны жібереді, сондықтан жеке кілт ешқашан сұраныстың өрісі болмайды. Агентті жіберу басқа нәрсені ашады, өйткені жіберілген агентке жете алатын қашықтағы хост одан кілтті ешқашан ұстамай-ақ қол қоюын сұрай алады. Осы екеуін бір оқиға ретінде қарастыру немесе мағынасыз кілт ауыстыруға, немесе жұмысын жалғастыратын өкілеттікке әкеледі.

Ашық кілтпен кіру кілтті емес, қолтаңбаны жібереді

Аутентификация алмасуы пайдаланушының ашық кілтін және сессия деректеріне қолтаңбаны тасымалдайды. Сервер бұл қолтаңбаны өзі бұрыннан сенетін кілтпен тексереді, сондықтан жеке жартысы сенімсіз желі арқылы клиентте қала алады. Туннельді бақылайтын VPN операторы кез келген жағдайда шифрланған SSH сессиясын көреді.

Бұл протоколды сипаттайды, жолдағы әрбір шеткі нүктенің сенімділігін емес. Хосттың сәйкестігін тексеруді бүлінбейтін күйде ұстаңыз, өйткені кез келген хост кілтін қабылдайтын клиент осында талқыланып отырғаннан өзге бақылаудан бас тартқан. Ұсталған сессия мен ұсталған кілт бөлек тұжырымдар және олардың тек біреуі ғана тіркелгі деректерінің жоғалуы. Екеуін есепте бөлек сөйлемдерде ұстаңыз.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Бірінші команда ашық саусақ ізін басып шығарады, оны сервер тізімімен салыстыруға болады. Екіншісі ешкім оқымаған әдепкі мәнге сенудің орнына хост кілтін тексеруді айқын етеді. Кілттерге қатысты бірдеңені өзгерту алдында екеуін де іске қосыңыз, бастапқы сызық құжатталсын.

Агентті жіберу қол қою мүмкіндігін өкілеттейді

Жіберу қосылған кезде қашықтағы хостта сокет пайда болады және жергілікті агент ол арқылы келетін сұраныстарға жауап береді. Сессия барысында бұл сокетті пайдалана алатын кез келген адам жүктелген сәйкестіктерді қабылдайтын хосттар алдында өзіңіз ретінде аутентификациялана алады. Бұл жұмыс істеуі үшін желіден ешбір жеке кілт өтпейді.

Әсер ету — мүмкіндік, файл емес. Сондықтан жіберу ноутбук жасайтын әрбір қосылымға емес, аталған тапсырма мен аталған хостқа тиесілі. Қосылымды жіберілген агентсіз жалғастыратын секіру хосты әдетте қажеттілікті толығымен жояды.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Біріншісі агенттің қазір қандай сәйкестіктерді ұстап тұрғанын тізімдейді, оны сокетін басқа машинаға бермес бұрын білу пайдалы. Екіншісі өкілеттіксіз қосылады. Үшіншісі жіберуді жиі толығымен алмастыратын секіру хост үлгісін көрсетеді.

Жауапты қолыңыздағы дәлелдерге қарай таңдаңыз

Әсер етті деп есептелетін қол қою сәйкестігі ауыстыру және жою процесін, сондай-ақ оған сенген қызметтерден оның қабылдануын алып тастауды талап етеді. Ноутбуктегі көшірмені жою қалған барлық көшірмелерді тиіспеген күйде қалдырады. Қызметтерден бастаңыз, содан кейін клиенттерді тазалаңыз.

Уақытша өкілеттік мәселесі тар. Қажет емес жіберуді тоқтатыңыз және оқиға иесімен бірге ол қай сессиялар мен сәйкестіктерді қамтығанын қарап шығыңыз. Кілтті ауыстыру кейін жалғасуы мүмкін, бірақ мұны дәлелдер шешеді, алаңдаушылық емес.

Бақыланған экспорттың болмауы тек қорыққан механизмнің пайда болмағанын дәлелдейді. Ол сол сокеттің екінші ұшындағы хосттың тағы не істей алатыны туралы ештеңе айтпайды.

Есепте бақылауларды бөлек ұстаңыз

Жеке материалды қорғаңыз, одан кім қолтаңба сұрай алатынын шектеңіз, екінші тараптың сәйкестігін тексерілген күйде ұстаңыз. Бұл бірін-бірі күшейтетін үш бақылау және не болғанын түсіндіргенде олардың ешқайсысы екіншісін алмастырмайды.

Бұзылған ноутбук немесе ондағы артықшылықты қолданба әлдеқайда кең әсер ету аймағы бар үшінші жағдай. VPN маршрутын өзгерту оны шешпейді және дискіден оқылған болуы мүмкін кілтке сенімді қалпына келтірмейді.

Қай компонентке сенгенін, жіберудің қосылғанын және шын мәнінде не бақыланғанын жазып қойыңыз. Дәл сол жазба келесі шешімді ағып кетудің мағынасы туралы болжамның орнына қорғауға болатын етеді.