SSH ачкычы көчүрүлдүбү же агент жөнөтүлдүбү? Эки башка тобокелдик

VPN аркылуу SSH ачкычын колдонгон кирүү жеке ачкыч тармак операторуна берилди дегенди билдирбейт, жана бул тынчтандыруу адамдар уга тургандан тар. Ачык ачкыч менен аутентификация кардар жергиликтүү түзгөн ачык ачкычты жана кол тамганы жөнөтөт. Агентти жөнөтүү башка таасирге ээ башка түзүлүш, жана ал сиз көзөмөлдөбөгөн машинеде колдонууга боло турган аутентификация жөндөмүн калтырышы мүмкүн. Сиз берүүгө тийиш болгон жооп ушул экөөнүн кайсынысы чындап болгонуна көз каранды.

Ачык ачкыч менен аутентификация эмнени жөнөтөт

Стандартты ачык ачкыч ыкмасында кардар ачык ачкыч сунуштайт, сервер бул ачкычты кабыл алабы же жокпу чечет, ал эми кардар өз файлында же агентинде калган жеке ачкыч менен чакырыкка кол коёт. Тармактан өткөн нерсе — ачык ачкыч жана андан чыккан кол тамга. Бул алмашууда эч нерсе серверден, туннелден же жолдогу бирөөдөн жеке материалды кармоону талап кылбайт.

Аутентификация спецификациясы ошол далилди аныктайт, ал эми жеке ачкыч сурамдагы талаа эмес.

Бул протокол тууралуу билдирүү, ар бир катышкан акыркы чекит үчүн мүнөздөмө эмес. Хосттун инсандыгын текшерүү дагы бүтүн болушу керек, анткени өзүнүн ким экенин далилдей албаган сервер сиз ойлобогон максат үчүн кол тамгаларды чогултушу мүмкүн. Ижарага алынган VM, мураска калган бастион жана белгисиз кеңейтүүнү иштеткен ноутбук — үч өзүнчө ишеним суроосу. Аларды криптографиялык суроодон өзүнчө кармаңыз, ал чындап чечилген.

Агентти жөнөтүү эмнени ыйгарат

Агентти жөнөтүү алыскы хосттон сиздин машинедеги агентке карай канал ачат, ошондуктан ошол хосттогу процесстер жеке ачкычты эч качан кармабай агенттен кол коюуну сурай алышат. Ачкыч өз ордунда калат, ал эми жөндөм калбайт. Алыскы хосттогу ошол жөнөтүлгөн сокетке жете алган нерсе, сессиянын өмүрү бою, жүктөлгөн инсандыктардын бири катары аутентификация операцияларын сурай алат. Бул ыйгарылган бийлик, ошондуктан жөнөтүү ачык ачкычты тапшыруудан тар саясатка татыктуу.

Көчүрүлгөн ачкыч файлы — жарыялоо. Жөнөтүлгөн агент — уруксат, жана экөөнө башка жооп керек.

Жөнөтүүнү аталган муктаждык жана аталган хосттор үчүн күйгүзүңүз жана кардардын чындап эмне кылып жатканын текшериңиз, конфигурация айтып жаткандай көрүнгөндү эмес. Натыйжалуу параметрлер маанилүү, анткени хост блогу глобалдык демейкини унчукпай эле алмаштырат. Ошол эле логика сервер тарабына да тиешелүү, ал жайылтуу эч качан муктаж болбосо, жөнөтүүдөн толук баш тарта алат.

Жооп тандоодон мурун далилдерди окуңуз

Жеке ачкыч файлы же ага барабар кол тамга инсандыгы ачыкка чыкты деп эсептелсе, жооп — уюмуңуздун процесси аркылуу алмаштыруу жана жокко чыгаруу, кошумча ага ишенген ар бир кызматтан анын кабыл алынышын алып салуу. Бир жергиликтүү көчүрмөнү жок кылуу сиз көрбөгөн көчүрмөлөрдү жараксыз кылбайт.

Эгер тынчсыздануу убактылуу агент кирүүсү болсо, жооп тарыраак: ашыкча ыйгарууну токтотуңуз, катышкан сессияларды жана инсандыктарды карап чыгыңыз, жана алмаштыруунун негиздүүлүгүн окуя ээсине чечүүгө бериңиз. Бул жерде далил маанилүү, анткени байкалган экспорттун жоктугу аутентификация терс пайдаланылбаганын далилдебейт, ал эми жолдун өзгөрүшү жалгыз уурдалган ачкычтын диагнозу эмес. Кайсы компонентке ишенишкенин, жөнөтүү күйгүзүлгөнүн жана чындап эмне байкалганын жазыңыз. Анан ошол жазууга туура келген жоопту тандаңыз, жеткиликтүү эң драмалыкты эмес.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Аларды өзгөртүүдөн мурун жана кийин иштетиңиз, салыштыруу мааниге ээ болушу үчүн. Мурун орнотулган сессия өзүнө берилген ыйгарууну сактайт, параметрлер азыр эмне десе да.

Алмаштырууга болбой турган эки көзөмөл

Жеке материалды коргоо, анын кол тамгасын ким сурай алаарын чектөө жана каршы тараптын инсандыгын текшерүү — үч байланыштуу көзөмөл, жана эч бири экинчисин алмаштырбайт. Хост ачкычтарын текшербей жөнөтүүнү алып салган команда маселенин жарымын оңдоду. Маршрут өзгөргөндүктөн ачкычты айландырган команда эч нерсе оңдогон жок.

Бузулган акыркы чекит — төртүнчү суроо, анткени өз машинеңиздеги артыкчылыктуу программа пакеттерди байкоодон алда канча көп нерсе кыла алат.

Бир нерсеге тийүүдөн мурун окуяны ошол категорияларга бөлүңүз жана ар бирине ээ дайындаңыз. Эмнеге ишенишкенин, эмне ыйгарылганын жана эмне текшерилгенин кыска жазуу катары кармаңыз, анткени кийинки кароону дагы бир талкуу эмес, арзан кыла турган ошол жазуу. Кандайдыр бир категория белгисиз болсо, жагымдуу учурду божомолдоонун ордуна белгисиз деп жазыңыз. Айырма практикалык, академиялык эмес: ал сиз каттоо маалыматын алмаштырасызбы, сессияны жокко чыгарасызбы, же жөн гана жөнөтүүнү токтотосузбу — аны чечет.