SSH-Schlëssel kopéiert oder Agent virugeleet? Zwee verschidde Risiken

Eng Umeldung déi en SSH-Schlëssel iwwer eng VPN benotzt heescht net datt de private Schlëssel un den Netzbedreiwer iwwerginn gouf, an déi Berouegung ass méi schmuel wéi d'Leit se héieren. D'Public-Key-Authentifikatioun schéckt e ëffentleche Schlëssel an eng Ënnerschrëft déi de Client lokal erstallt. Agent-Viruleedung ass eng aner Arrangement mat enger anerer Expositioun, a si kann eng benotzbar Authentifikatiounsmooss op enger Maschinn hannerloossen déi Dir net kontrolléiert. D'Äntwert déi Dir schëlleg sidd hänkt dovun of wéi eng vun den zwee tatsächlech geschitt ass.

Wat d'Public-Key-Authentifikatioun schéckt

An der Standardmethod mam ëffentleche Schlëssel bitt de Client en ëffentleche Schlëssel un, de Server entscheet ob hien dee Schlëssel acceptéiert, an de Client ënnerschreift eng Erausfuerderung mam private Schlëssel, deen a senger Datei oder sengem Agent bleift. Wat iwwer den Netz geet sinn den ëffentleche Schlëssel an d'Ënnerschrëft déi doraus entsteet. Näischt an deem Austausch verlaangt datt de Server, den Tunnel oder iergendeen um Wee de private Material hält.

D'Authentifikatiounsspezifikatioun definéiert dee Beweis, an de private Schlëssel ass kee Feld an der Ufro.

Dat ass eng Ausso iwwer e Protokoll, keng Charakterreferenz fir jiddwer bedeelegten Endpunkt. D'Kontroll vun der Hostidentitéit muss nach ëmmer intakt sinn, well e Server dee net beweise kann wien hien ass sammelt vläicht Ënnerschrëften fir en Zweck deen Dir net virgesinn hutt. Eng gelount VM, e geierfte Bastion an e Laptop deen eng onbekannt Erweiderung lafe léisst sinn dräi getrennt Vertrauensfroen. Halt se getrennt vun der kryptographescher, déi wierklech decidéiert ass.

Wat d'Agent-Viruleedung delegéiert

Agent-Viruleedung mécht e Kanal vum entfernten Host zréck zum Agent op Ärer Maschinn op, sou datt Prozesser op deem Host den Agent kënne froen ze ënnerschreiwen ouni je de private Schlëssel ze halen. De Schlëssel bleift wou en ass, an d'Fäegkeet net. Alles wat dee virugeleeten Socket um entfernten Host erreeche kann, fir d'Liewensdauer vun der Sessioun, kann Authentifikatiounsoperatiounen ufroen als eng vun de geluedenen Identitéiten. Dat ass delegéiert Autoritéit, dofir verdéngt Viruleedung eng méi schmuel Politik wéi d'Iwwergab vun engem ëffentleche Schlëssel.

Eng kopéiert Schlësseldatei ass eng Offenlegung. En virugeleeten Agent ass eng Erlaabnes, an déi zwee brauchen ënnerschiddlech Äntwerten.

Aktivéiert Viruleedung fir en genannte Besoin a genannt Hosten, a kontrolléiert wat de Client tatsächlech mécht amplaz wat d'Konfiguratioun schéngt ze soen. Et zielen déi effektiv Astellungen, well e Hostblock eng global Virlag stëll iwwerschreift. Déiselwecht Logik gëllt op der Serversäit, déi d'Viruleedung ganz oflehne kann wann d'Bereetstellung se ni brauch.

Liest d'Beweiser ier Dir eng Äntwert wielt

Wann ugeholl gëtt datt eng privat Schlësseldatei oder eng gläichwäerteg Ënnerschrëftidentitéit offen geluecht gouf, ass d'Äntwert Ersatz a Widderruff iwwer de Prozess vun Ärer Organisatioun, plus d'Entferne vun hirer Akzeptanz aus all Service deen hir vertraut huet. D'Läschen vun enger lokaler Kopie mécht d'Kopien déi Dir net gesitt net ongëlteg.

Wann d'Suerg en temporären Agentenzougang ass, ass d'Äntwert méi schmuel: stoppt déi onnéideg Delegatioun, iwwerpréift déi bedeelegt Sessiounen an Identitéiten, a loosst den Eegentümer vum Tëschefall entscheeden ob en Ersatz gerechtfertegt ass. Beweiser zielen hei, well keen observéierten Export beweise kann datt keng Authentifikatioun mëssbraucht gouf, an eng Ännerung vum Wee eleng ass keng Diagnos vun engem geklauten Schlëssel. Schreift op wéi eng Komponent vertraut gouf, ob d'Viruleedung aktiv war a wat tatsächlech observéiert gouf. Wielt dann d'Äntwert déi zu deem Protokoll passt amplaz déi dramateschst verfügbar.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Fiert se virun an no enger Ännerung aus, sou datt de Verglach eppes bedeit. Eng Sessioun déi fréier opgebaut gouf behält d'Delegatioun déi hir ginn ass, wat d'Astellungen och ëmmer elo soen.

Zwee Kontrollen déi net austauschbar sinn

Privat Material schützen, begrenzen wien ëm eng Ënnerschrëft froe kann, an d'Identitéit vun der anerer Säit iwwerpréiwen sinn dräi verwandt Kontrollen, an keng ersetzt déi aner. En Team deen d'Viruleedung ewechhëlt ouni d'Hostschlësselen ze kontrolléieren huet d'Halschent vun engem Problem behuewen. En Team deen e Schlëssel rotéiert well de Wee sech geännert huet huet näischt behuewen.

En kompromittéierten Endpunkt ass eng véiert Fro, well privilegiéiert Software op Ärer eegener Maschinn vill méi ka maache wéi Paketen ze observéieren.

Sortéiert den Tëschefall an déi Kategorien ier Dir eppes beréiert, a gitt jiddwer engem Eegentümer. Halt e kuerzen Protokoll doriwwer wat vertraut war, wat delegéiert gouf a wat iwwerpréift gouf, well dee Protokoll ass wat déi nächst Iwwerpréiwung bëlleg mécht amplaz nach eng Debatt. Wann eng Kategorie onbekannt ass, schreift onbekannt amplaz de harmlosen Fall unzehuelen. Den Ënnerscheed ass praktesch, net akademesch: et entscheet ob Dir en Zugangsdatenelement ersetzt, eng Sessioun zréckzitt oder einfach d'Viruleedung stoppt.