SSH-Agent weiderleeden oder e Schlëssel kopéieren: wat wierklech leeft

Zwou verschidde Begebenheete ginn ausgelafenen SSH-Schlëssel genannt, an si verlaangen ënnerschiddlech Reaktiounen. D'Authentifikatioun mam ëffentleche Schlëssel schéckt en ëffentleche Schlëssel an eng Ënnerschrëft, déi mam private Schlëssel gemaach gouf, dofir ass de private Schlëssel ni e Feld an der Ufro. D'Weiderleedung vum Agent leet eppes anescht offen, well en entferten Host, deen de weidergeleeten Agent erreecht, hie ka freen ze ënnerschreiwen, ouni de Schlëssel je ze halen. Wann een déi zwou als eng eenzeg Begebenheet behandelt, kënnt een entweder op en zwecklosen Schlësselwiessel oder op eng Delegatioun, déi weiderleeft.

D'Anmeldung mam ëffentleche Schlëssel iwwerdréit eng Ënnerschrëft, net de Schlëssel

Den Authentifikatiounsaustausch dréit den ëffentleche Schlëssel vum Benotzer an eng Ënnerschrëft iwwer d'Sessiounsdaten. De Server préift déi Ënnerschrëft mam Schlëssel, deem en schonn traut, dofir kann déi privat Hallschent iwwer en onvertrauenswierdegt Netzwierk um Client bleiwen. En VPN-Betreiber, deen den Tunnel observéiert, gesäit souwisou eng verschlësselt SSH-Sessioun.

Dat beschreift de Protokoll, net d'Vertrauenswierdegkeet vun all Endpunkt um Wee. Halt d'Host-Identitéitspréifung intakt, well e Client, deen all Hostschlëssel akzeptéiert, eng aner Kontroll opginn huet wéi déi, déi hei diskutéiert gëtt. Eng ofgefaange Sessioun an en ofgefaangene Schlëssel sinn getrennt Feststellungen, an nëmmen eng vun deenen zwee ass e Verloscht vun Zougangsdaten. Halt déi zwou am Bericht an getrennte Sätz.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Den éischte Befehl dréckt de ëffentlechen Ofdrock, sou datt Dir en mat deem vergläiche kënnt, wat de Server oplëscht. Den zweete mécht d'Hostschlësselpréifung explizit, amplaz op en Default ze vertrauen, deen keen gelies huet. Féiert béid aus, ier Dir eppes un de Schlësselen ännert, sou datt d'Basislinn dokumentéiert ass.

Weiderleede vun engem Agent delegéiert d'Fähegkeet ze ënnerschreiwen

Wann d'Weiderleedung aktiv ass, erschéngt e Socket um entferten Host an den lokalen Agent äntwert op Ufroe, déi doduerch kommen. Jiddereen, deen dee Socket während der Sessioun ka benotzen, kann sech als Dir bei Hosts authentifizéieren, déi d'gelueden Identitéiten akzeptéieren. Kee private Schlëssel iwwerquiert d'Netzwierk, fir dat ze schaffen.

D'Fähegkeet ass d'Expositioun, net d'Datei. Dofir gehéiert d'Weiderleedung zu enger benannter Aufgab an engem benannten Host, net zu all Verbindung, déi e Laptop opmécht. En Iwwerspranghost, deen d'Verbindung ouni weidergeleeten Agent duerchgëtt, hëlt de Besoin meeschtens ganz ewech.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Den éischten zielt op, wéi eng Identitéiten den Agent grad huet, wat ee wësse sollt, ier een säi Socket enger anerer Maschinn gëtt. Den zweete verbënnt sech ouni Delegatioun. Den drëtten weist de Muster vum Iwwerspranghost, deen d'Weiderleedung dacks komplett ersetzt.

Wielt d'Reaktioun no de Beweiser, déi Dir hutt

Eng Ënnerschrëftidentitéit, déi als exponéiert ugesi gëtt, verlaangt de Prozess vum Ersetzen an dem Widderruff, an d'Ewechhuele vun hirer Akzeptanz bei de Servicer, déi hir vertraut hunn. D'Kopie um Laptop läschen hält all aner Kopie onberéiert. Fänkt bei de Servicer un, da maacht d'Clienten propper.

En temporäre Delegatiounsproblem ass méi schmuel. Beend nëmmen d'Weiderleedung, déi net néideg war, a kuckt mam Besëtzer vum Tëschefall, wéi eng Sessiounen an Identitéite se ëmfaasst huet. En Schlësselwiessel kann nachfollegen, awer doriwwer entscheeden d'Beweiser, net d'Suerg.

Keen observéierten Export beweist just, datt de Mechanismus, virun deem Dir Angscht hat, net opgetrueden ass. Et seet näischt doriwwer, wat nach en Host um aneren Enn vun deem Socket kéint gemaach hunn.

Halt d'Kontrollen am Bericht getrennt

Schütz dat privat Material, begrenz wien hie kann ëm eng Ënnerschrëft freen, halt déi gepréift Identitéit vun der Géigesäit. Dat sinn dräi Kontrollen, déi sech géigesäiteg stäerken, an keng vun hinnen ersetzt eng aner, wann Dir erkläert, wat geschitt ass.

En kompromittéierte Laptop oder eng privilegiéiert Applikatioun drop ass en drëtte Fall mat engem vill méi breede Wierkungsradius. D'VPN-Route änneren léist dat net an et stellt d'Vertrauen an e Schlëssel net hier, deen eventuell vun der Plack gelies gouf.

Schreift op, wéi eng Komponente vertraut gouf, ob d'Weiderleedung un war a wat wierklech observéiert gouf. Genau dee Bericht mécht déi nächst Entscheedung verdeedegbar, amplaz enger Vermudung iwwer d'Bedeitung vun engem Leck.