SSH агентин берүү же ачкычты көчүрүү: чындыгында эмне агып кетет

Эки башка окуяны агып кеткен SSH ачкычы деп аташат жана алар башкача жооп талап кылат. Ачык ачкыч менен аутентификациялоо ачык ачкычты жана жеке ачкыч менен жасалган кол тамганы жөнөтөт, ошондуктан жеке ачкыч эч качан сурамдын талаасы болбойт. Агентти берүү башка нерсени ачат, анткени берилген агентке жете алган алыскы хост андан ачкычты эч качан кармабастан кол коюусун сурай алат. Буларды бир окуя деп карасак, натыйжа же маанисиз ачкыч алмаштыруу, же иштеп жаткан ыйгарым укук болуп калат.

Ачык ачкыч менен кирүү ачкычты эмес, кол тамганы берет

Аутентификация алмашуусу колдонуучунун ачык ачкычын жана сессия маалыматтарына кол тамганы алып жүрөт. Сервер бул кол тамганы өзү мурун ишенген ачкыч менен текшерет, ошондуктан жеке жарымы ишенимсиз тармак аркылуу клиентте кала алат. Туннелди байкаган VPN оператору кандай болбосун шифрленген SSH сессиясын көрөт.

Бул протоколду сүрөттөйт, жолдогу ар бир четки чекиттин ишенимдүүлүгүн эмес. Хосттун инсандыгын текшерүүнү бузулбаган бойдон сактаңыз, анткени каалаган хост ачкычын кабыл алган клиент бул жерде талкуулангандан башка көзөмөлдөн баш тарткан. Кармалган сессия жана кармалган ачкыч өзүнчө тыянактар, жана алардын бирөө гана эсеп маалыматтарынын жоголушу. Экөөнү тең отчетто өзүнчө сүйлөмдөрдө кармаңыз.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Биринчи буйрук ачык манжа изин басып чыгарат, аны сервердин тизмеси менен салыштырууга болот. Экинчиси эч ким окубаган демейки мааниге таянуунун ордуна хост ачкычын текшерүүнү ачык кылат. Ачкычтарга байланыштуу бир нерсени өзгөртүүдөн мурун экөөнү тең иштетиңиз, баштапкы сызык документтештирилсин.

Агентти берүү кол коюу мүмкүнчүлүгүн ыйгарат

Берүү күйгүзүлгөндө алыскы хостто сокет пайда болот жана жергиликтүү агент анын аркылуу келген сурамдарга жооп берет. Сессия учурунда бул сокетти колдоно алган ар ким жүктөлгөн инсандыктарды кабыл алган хосттордун алдында өзүңүз катары аутентификациялана алат. Бул иштеши үчүн тармактан эч бир жеке ачкыч өтпөйт.

Таасир — бул мүмкүнчүлүк, файл эмес. Ошондуктан берүү ноутбук ачкан ар бир байланышка эмес, аталган тапшырмага жана аталган хостко тиешелүү. Байланышты берилген агентсиз уланткан секирүү хосту адатта муктаждыкты толугу менен жок кылат.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Биринчиси агент азыр кайсы инсандыктарды кармап турганын тизмелейт, аны сокетин башка машинага берүүдөн мурун билүү пайдалуу. Экинчиси ыйгаруусуз туташат. Үчүнчүсү берүүнү көп учурда толугу менен алмаштырган секирүү хост үлгүсүн көрсөтөт.

Жоопту колуңуздагы далилдерге жараша тандаңыз

Ачылды деп эсептелген кол коюу инсандыгы алмаштыруу жана жокко чыгаруу процессин, ошондой эле ага ишенген кызматтардан анын кабыл алынышын алып салууну талап кылат. Ноутбуктагы көчүрмөнү өчүрүү калган бардык көчүрмөлөрдү тийбеген бойдон калтырат. Кызматтардан баштап, анан кардарларды тазалаңыз.

Убактылуу ыйгаруу маселеси тарыраак. Керек болбогон берүүнү токтотуңуз жана окуянын ээси менен кайсы сессиялар жана инсандыктар камтылганын карап чыгыңыз. Ачкычты алмаштыруу кийин болушу мүмкүн, бирок муну далилдер чечет, тынчсыздануу эмес.

Байкалган экспорттун жоктугу корккон механизм пайда болбогонун гана далилдейт. Ал ошол сокеттин экинчи учунун хосту дагы эмне кыла алганы тууралуу эч нерсе айтпайт.

Отчетто көзөмөлдөрдү өзүнчө кармаңыз

Жеке материалды коргоңуз, андан ким кол тамга сурай аларын чектеңиз, экинчи тараптын инсандыгын текшерилген бойдон кармаңыз. Булар бири-бирин күчөткөн үч көзөмөл жана эмне болгонун түшүндүргөндө алардын эч бири экинчисин алмаштырбайт.

Бузулган ноутбук же андагы артыкчылыктуу колдонмо таасир аймагы алда канча кенен үчүнчү учур. VPN маршрутун өзгөртүү аны чечпейт жана дисктен окулган болушу мүмкүн болгон ачкычка ишенимди калыбына келтирбейт.

Кайсы компонентке ишенилгенин, берүү күйгүзүлгөнүн жана чындыгында эмне байкалганын жазыңыз. Ушул жазуу кийинки чечимди агыштын мааниси тууралуу божомолдун ордуна коргоого мүмкүн кылат.