SSH кілті көшірілді ме, әлде агент жіберілді ме? Екі түрлі тәуекел

VPN арқылы SSH кілтін пайдаланатын кіру жеке кілттің желі операторына берілгенін білдірмейді, және бұл сендіру адамдар еститінінен тар. Ашық кілтпен аутентификация клиент жергілікті жасайтын ашық кілт пен қолтаңбаны жібереді. Агентті жіберу басқа әсерге ие басқа құрылым, және ол сіз бақыламайтын машинада пайдалануға болатын аутентификация қабілетін қалдыруы мүмкін. Сіз беретін жауап осы екеуінің қайсысы шынымен болғанына байланысты.

Ашық кілтпен аутентификация не жібереді

Стандартты ашық кілт әдісінде клиент ашық кілт ұсынады, сервер бұл кілтті қабылдай ма, жоқ па шешеді, ал клиент өз файлында немесе агентинде қалатын жеке кілтпен шақыруға қол қояды. Желіден өтетін нәрсе — ашық кілт және одан шығатын қолтаңба. Бұл айырбаста ешнәрсе серверден, туннельден немесе жолдағы біреуден жеке материалды ұстауды талап етпейді.

Аутентификация спецификациясы осы дәлелді анықтайды, ал жеке кілт сұраныстағы өріс емес.

Бұл хаттама туралы мәлімдеме, әрбір қатысқан соңғы нүкте үшін мінездеме емес. Хосттың жеке басын тексеру әлі де бүтін болуы керек, өйткені өзінің кім екенін дәлелдей алмайтын сервер сіз ойламаған мақсат үшін қолтаңбалар жинауы мүмкін. Жалдамалы VM, мұраға қалған бастион және бейтаныс кеңейтімді іске қосатын ноутбук — үш бөлек сенім сұрағы. Оларды криптографиялық сұрақтан бөлек ұстаңыз, ол шынымен шешілген.

Агентті жіберу нені өкілеттік етеді

Агентті жіберу қашықтағы хосттан сіздің машинаңыздағы агентке қарай арна ашады, сондықтан сол хосттағы процестер жеке кілтті ешқашан ұстамай агенттен қол қоюды сұрай алады. Кілт өз орнында қалады, ал қабілет қалмайды. Қашықтағы хосттағы сол жіберілген сокетке жете алатын кез келген нәрсе, сессия өмірінің бойы, жүктелген сәйкестіктердің бірі ретінде аутентификация операцияларын сұрай алады. Бұл өкілеттік берілген билік, сондықтан жіберу ашық кілтті тапсырудан тар саясатқа лайық.

Көшірілген кілт файлы — жария ету. Жіберілген агент — рұқсат, және екеуіне түрлі жауап керек.

Жіберуді аталған қажеттілік пен аталған хосттар үшін қосыңыз және клиенттің шынымен не істейтінін тексеріңіз, конфигурация айтып тұрғандай көрінетіннен емес. Тиімді параметрлер маңызды, өйткені хост блогы ғаламдық әдепкі мәнді үнсіз қайта анықтайды. Сол логика сервер жағында да қолданылады, ол орналастыру ешқашан қажет етпесе, жіберуден толық бас тарта алады.

Жауап таңдамас бұрын дәлелдерді оқыңыз

Жеке кілт файлы немесе оған балама қолтаңба сәйкестігі әшкереленді деп есептелсе, жауап — ұйымыңыздың процесі арқылы ауыстыру және кері қайтарып алу, қоса оны сенген әрбір қызметтен қабылдауды алып тастау. Бір жергілікті көшірмені жою сіз көрмейтін көшірмелерді жарамсыз етпейді.

Егер алаңдаушылық уақытша агент қатынасы болса, жауап тар: артық өкілеттікті тоқтатыңыз, қатысқан сессиялар мен сәйкестіктерді қарап шығыңыз, және ауыстырудың негізділігін оқиға иесіне шешуге беріңіз. Бұл жерде дәлел маңызды, өйткені байқалған экспорттың болмауы аутентификацияның теріс пайдаланылмағанын дәлелдемейді, ал жолдың өзгеруі жалғыз ұрланған кілттің диагнозы емес. Қай компонентке сенгенін, жіберу қосылғанын және шынымен не байқалғанын жазыңыз. Сосын сол жазбаға сай жауапты таңдаңыз, қолжетімді ең драмалық емес.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Оларды өзгеріс алдында және кейін іске қосыңыз, салыстыру мәнге ие болуы үшін. Бұрын орнатылған сессия оған берілген өкілеттікті сақтайды, параметрлер қазір не десе де.

Алмастыруға болмайтын екі бақылау

Жеке материалды қорғау, оның қолтаңбасын кім сұрай алатынын шектеу және қарсы тараптың сәйкестігін тексеру — үш байланысты бақылау, және ешқайсысы екіншісін алмастырмайды. Хост кілттерін тексермей жіберуді алып тастаған топ мәселенің жартысын түзеді. Бағыт өзгергені үшін кілтті айналдырған топ ештеңе түзген жоқ.

Бұзылған соңғы нүкте — төртінші сұрақ, өйткені өз машинаңыздағы артықшылықты бағдарлама пакеттерді бақылаудан әлдеқайда көп нәрсе істей алады.

Бірдеңеге қол тигізбес бұрын оқиғаны сол санаттарға бөліңіз және әрқайсысына ие тағайындаңыз. Неге сенгенін, не өкілеттік берілгенін және не тексерілгенін қысқа жазба ретінде ұстаңыз, өйткені келесі қарауды тағы бір пікірталас емес, арзан ететін сол жазба. Қандай да бір санат белгісіз болса, қолайлы жағдайды болжаудың орнына белгісіз деп жазыңыз. Айырмашылық практикалық, академиялық емес: ол сіздің тіркелгі деректерін ауыстырасыз ба, сессияны кері қайтарасыз ба, әлде жай ғана жіберуді тоқтатасыз ба — соны шешеді.