SSH raktas nukopijuotas ar agentas persiųstas? Dvi skirtingos rizikos

Prisijungimas, kuris naudoja SSH raktą per VPN, nereiškia, kad privatusis raktas buvo perduotas tinklo operatoriui, ir tas nuraminimas siauresnis, nei žmonės girdi. Viešojo rakto autentifikavimas siunčia viešąjį raktą ir parašą, kurį klientas sukuria vietoje. Agento persiuntimas yra kita tvarka su kita ekspozicija, ir jis gali palikti naudingą autentifikavimo galimybę mašinoje, kurios jūs nekontroliuojate. Atsakymas, kurį turite duoti, priklauso nuo to, kuris iš dviejų iš tikrųjų įvyko.

Ką siunčia viešojo rakto autentifikavimas

Standartiniame viešojo rakto metode klientas pasiūlo viešąjį raktą, serveris nusprendžia, ar priima tą raktą, o klientas pasirašo iššūkį privačiuoju raktu, kuris lieka jo faile arba jo agente. Per tinklą keliauja viešasis raktas ir iš to atsirandantis parašas. Niekas tame apsikeitime nereikalauja, kad serveris, tunelis ar kas nors kelyje turėtų privatųjį turinį.

Autentifikavimo specifikacija apibrėžia tą įrodymą, o privatusis raktas nėra prašymo laukas.

Tai teiginys apie protokolą, o ne charakterio nuoroda kiekvienam dalyvaujančiam galiniam taškui. Prieglobos tapatybės patikra vis dar turi būti nepažeista, nes serveris, kuris negali įrodyti, kas jis, gali rinkti parašus tikslui, kurio neketinote. Išnuomota VM, paveldėtas bastionas ir nešiojamasis kompiuteris su nežinomu plėtiniu yra trys atskiri pasitikėjimo klausimai. Laikykite juos atskirai nuo kriptografinio, kuris tikrai išspręstas.

Ką deleguoja agento persiuntimas

Agento persiuntimas atveria kanalą nuo nuotolinio prieglobos atgal į agentą jūsų mašinoje, todėl tos prieglobos procesai gali prašyti agento pasirašyti niekada neturėdami privataus rakto. Raktas lieka ten, kur yra, o galimybė ne. Viskas, kas gali pasiekti tą persiųstą lizdą nuotolinėje priegloboje, sesijos gyvavimo metu, gali prašyti autentifikavimo operacijų kaip viena iš įkeltų tapatybių. Tai deleguotas įgaliojimas, todėl persiuntimas vertas siauresnės politikos nei viešojo rakto perdavimas.

Nukopijuotas rakto failas yra atskleidimas. Persiųstas agentas yra leidimas, ir abu reikalauja skirtingų atsakymų.

Įjunkite persiuntimą pavadintam poreikiui ir pavadintoms priegloboms, ir patikrinkite, ką klientas iš tikrųjų daro, o ne ką konfigūracija atrodo sakanti. Svarbu efektyvūs nustatymai, nes prieglobos blokas tyliai pakeičia pasaulinę numatytąją reikšmę. Ta pati logika galioja serverio pusėje, kuri gali visiškai atsisakyti persiuntimo, kai diegimas jo niekada nereikia.

Perskaitykite įrodymus prieš rinkdamiesi atsakymą

Jei manoma, kad privataus rakto failas arba lygiavertė pasirašymo tapatybė buvo atskleisti, atsakymas yra pakeitimas ir atšaukimas per jūsų organizacijos procesą, be to, jo priėmimo pašalinimas iš kiekvienos paslaugos, kuri juo pasitikėjo. Vienos vietinės kopijos ištrynimas nepanaikina kopijų, kurių nematote.

Jei susirūpinimas yra laikina agento prieiga, atsakymas siauresnis: sustabdykite nereikalingą delegavimą, peržiūrėkite susijusias sesijas ir tapatybes, ir leiskite incidento savininkui nuspręsti, ar pakeitimas pagrįstas. Įrodymai čia svarbūs, nes nepastebėtas eksportas neįrodo, kad autentifikavimas nebuvo piktnaudžiaujamas, o vien kelio pasikeitimas nėra pavogto rakto diagnozė. Užrašykite, kuriuo komponentu buvo pasitikima, ar persiuntimas buvo įjungtas ir kas iš tikrųjų pastebėta. Tada pasirinkite atsakymą, kuris atitinka tą įrašą, o ne patį dramatiškiausią.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Paleiskite juos prieš pakeitimą ir po jo, kad palyginimas ką nors reikštų. Anksčiau nustatyta sesija išlaiko jai suteiktą delegavimą, kad ir ką nustatymai dabar sakytų.

Dvi kontrolės, kurios nėra keičiamos

Privataus turinio apsauga, apribojimas, kas gali prašyti jo parašo, ir kitos šalies tapatybės patikra yra trys susijusios kontrolės, ir nė viena nepakeičia kitos. Komanda, kuri pašalina persiuntimą netikrindama prieglobos raktų, ištaisė pusę problemos. Komanda, kuri keičia raktą dėl pasikeitusio maršruto, neištaisė nieko.

Sugadintas galinis taškas yra ketvirtas klausimas, nes privilegijuota programinė įranga jūsų mašinoje gali padaryti daug daugiau nei stebėti paketus.

Surūšiuokite incidentą į tas kategorijas prieš ką nors liesdami, ir kiekvienai skirkite savininką. Laikykite trumpą įrašą apie tai, kuo buvo pasitikima, kas deleguota ir kas patikrinta, nes tas įrašas daro kitą peržiūrą pigią, o ne dar vieną ginčą. Jei kuri nors kategorija nežinoma, rašykite nežinoma, o ne manykite palankų atvejį. Skirtumas praktiškas, ne akademinis: jis nusprendžia, ar keičiate kredencialą, atšaukiate sesiją, ar tiesiog nustojate persiųsti.