SSH agento persiuntimas ar raktų kopijavimas: kas iš tikrųjų nuteka

Du skirtingi įvykiai vadinami nutekėjęs SSH raktas, ir jiems reikia skirtingų reakcijų. Autentifikacija viešuoju raktu siunčia viešąjį raktą ir parašą, padarytą privačiu raktu, todėl privatus raktas niekada nėra užklausos laukas. Agento persiuntimas atskleidžia ką kita, nes nuotolinis serveris, kuris pasiekia jūsų persiųstą agentą, gali paprašyti jo pasirašyti niekada neturėdamas rakto. Jei abu traktuojami kaip vienas įvykis, baigiama arba beprasmiu rakto pakeitimu, arba delegavimu, kuris lieka veikti.

Prisijungimas viešuoju raktu perduoda parašą, o ne raktą

Autentifikacijos mainai neša naudotojo viešąjį raktą ir parašą sesijos duomenims. Serveris tikrina tą parašą raktu, kuriuo jau pasitiki, todėl privati pusė gali likti kliente per nepatikimą tinklą. VPN operatorius, stebintis tunelį, vis tiek mato užšifruotą SSH sesiją.

Tai apibūdina protokolą, o ne kiekvieno kelio taško patikimumą. Išlaikykite serverio tapatybės patikrinimą nepažeistą, nes klientas, priimantis bet kokį serverio raktą, atsisakė kitos kontrolės nei ta, kuri aptariama čia. Perimta sesija ir perimtas raktas yra atskiri radiniai, ir tik vienas iš jų yra prisijungimo duomenų netektis. Laikykite abu atskiruose ataskaitos sakiniuose.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Pirmoji komanda atspausdina viešąjį pirštų atspaudą, kad galėtumėte jį palyginti su tuo, ką išvardija serveris. Antroji padaro serverio rakto patikrinimą aiškų, o ne pasikliauja numatytąja reikšme, kurios niekas neskaitė. Paleiskite abi prieš ką nors keisdami raktuose, kad bazinė linija būtų dokumentuota.

Agento persiuntimas deleguoja galimybę pasirašyti

Kai persiuntimas įjungtas, nuotoliniame serveryje atsiranda lizdas, o vietinis agentas atsako į per jį ateinančias užklausas. Kas gali naudotis tuo lizdu sesijos metu, gali prisistatyti kaip jūs serveriams, kurie priima įkeltas tapatybes. Joks privatus raktas neperžengia tinklo, kad tai veiktų.

Pavojus yra galimybė, o ne failas. Todėl persiuntimas priklauso įvardytai užduočiai ir įvardytam serveriui, o ne kiekvienam nešiojamojo kompiuterio ryšiui. Šuolio serveris, kuris perduoda ryšį be persiųsto agento, paprastai visiškai pašalina poreikį.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Pirmoji išvardija, kokias tapatybes agentas šiuo metu turi, ką verta žinoti prieš atiduodant jo lizdą kitai mašinai. Antroji jungiasi be delegavimo. Trečioji parodo šuolio serverio modelį, kuris dažnai visiškai pakeičia persiuntimą.

Pasirinkite reakciją pagal turimus įrodymus

Pasirašymo tapatybė, kuri laikoma atskleista, reikalauja pakeitimo ir atšaukimo proceso bei jos priėmimo pašalinimo iš paslaugų, kurios ja pasitikėjo. Kopijos ištrynimas nešiojamajame kompiuteryje palieka visas kitas kopijas nepaliestas. Pradėkite nuo paslaugų, tada sutvarkykite klientus.

Laikina delegavimo problema siauresnė. Nutraukite persiuntimą, kuris nebuvo reikalingas, ir kartu su incidento savininku peržiūrėkite, kurias sesijas ir tapatybes jis apėmė. Rakto pakeitimas gali sekti, bet tai sprendžia įrodymai, o ne nerimas.

Jokio stebimo eksporto nebuvimas įrodo tik tai, kad mechanizmas, kurio bijojote, nepasirodė. Tai nieko nesako apie tai, ką dar galėjo padaryti serveris kitame to lizdo gale.

Laikykite kontrolės priemones atskirai ataskaitoje

Saugokite privatų turinį, apribokite, kas gali jo prašyti parašo, palaikykite patikrintą kitos šalies tapatybę. Tai trys kontrolės priemonės, kurios stiprina viena kitą, ir nė viena jų nepakeičia kitos, kai aiškinate, kas nutiko.

Pažeistas nešiojamasis kompiuteris ar jame esanti privilegijuota programa yra trečias atvejis su daug platesniu poveikiu. VPN maršruto pakeitimas to neišsprendžia ir neatkuria pasitikėjimo raktu, kuris galėjo būti perskaitytas iš disko.

Užrašykite, kuriuo komponentu buvo pasitikėta, ar persiuntimas buvo įjungtas ir kas iš tikrųjų pastebėta. Būtent šis įrašas padaro kitą sprendimą apginamą, o ne spėliojimą apie tai, ką reiškia nutekėjimas.