SSH aģenta pāradresēšana vai atslēgas kopēšana: kas patiešām noplūst

Divus dažādus notikumus sauc noplūdusi SSH atslēga, un tiem vajadzīgas dažādas reakcijas. Autentifikācija ar publisko atslēgu nosūta publisko atslēgu un ar privāto atslēgu veidotu parakstu, tāpēc privātā atslēga nekad nav pieprasījuma lauks. Aģenta pāradresēšana atklāj ko citu, jo attāls resursdators, kas sasniedz jūsu pāradresēto aģentu, var tam lūgt parakstīt, nekad neturot atslēgu. Ja abus uzskata par vienu notikumu, rezultāts ir vai nu bezjēdzīga atslēgas maiņa, vai arī deleģējums, kas turpina darboties.

Pieteikšanās ar publisko atslēgu pārraida parakstu, nevis atslēgu

Autentifikācijas apmaiņa nes lietotāja publisko atslēgu un parakstu pār sesijas datiem. Serveris pārbauda šo parakstu ar atslēgu, kurai jau uzticas, tāpēc privātā puse var palikt klientā arī pāri neuzticamam tīklam. VPN operators, kas vēro tuneli, jebkurā gadījumā redz šifrētu SSH sesiju.

Tas apraksta protokolu, nevis katra ceļa galapunkta uzticamību. Saglabājiet resursdatora identitātes pārbaudi neskartu, jo klients, kas pieņem jebkuru resursdatora atslēgu, ir atteicies no citas kontroles nekā šeit apspriestā. Pārtverta sesija un pārtverta atslēga ir atsevišķi atklājumi, un tikai viens no tiem ir piekļuves datu zaudējums. Turiet abus atsevišķos ziņojuma teikumos.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Pirmā komanda izdrukā publisko nospiedumu, lai jūs to salīdzinātu ar to, ko uzskaita serveris. Otrā padara resursdatora atslēgas pārbaudi skaidru, tā vietā paļaujoties uz noklusējuma vērtību, ko neviens nav lasījis. Palaidiet abas pirms kaut ko mainīt atslēgās, lai bāzes līnija būtu dokumentēta.

Aģenta pāradresēšana deleģē parakstīšanas iespēju

Kad pāradresēšana ir ieslēgta, attālajā resursdatorā parādās ligzda, un vietējais aģents atbild uz pieprasījumiem, kas nāk caur to. Ikviens, kas sesijas laikā var izmantot šo ligzdu, var autentificēties kā jūs pie resursdatoriem, kas pieņem ielādētās identitātes. Neviena privātā atslēga nešķērso tīklu, lai tas darbotos.

Iedarbība ir iespēja, nevis fails. Tāpēc pāradresēšana pieder nosauktam uzdevumam un nosauktam resursdatoram, nevis katrai savienojumam, ko veido klēpjdators. Lēciena resursdators, kas pārsūta savienojumu bez pāradresēta aģenta, parasti pilnīgi novērš vajadzību.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Pirmā uzskaita, kādas identitātes aģentam pašlaik ir, ko ir vērts zināt pirms tā ligzdas nodošanas citai mašīnai. Otrā pieslēdzas bez deleģējuma. Trešā parāda lēciena resursdatora modeli, kas bieži pilnībā aizstāj pāradresēšanu.

Izvēlieties reakciju pēc pieejamajiem pierādījumiem

Parakstīšanas identitāte, kas tiek uzskatīta par atklātu, prasa aizstāšanas un atsaukšanas procesu, kā arī tās pieņemšanas noņemšanu no pakalpojumiem, kas tai uzticējās. Kopijas dzēšana klēpjdatorā atstāj visas pārējās kopijas neskartas. Sāciet ar pakalpojumiem, tad sakārtojiet klientus.

Īslaicīga deleģējuma problēma ir šaurāka. Pārtrauciet pāradresēšanu, kas nebija nepieciešama, un kopā ar incidenta īpašnieku pārskatiet, kuras sesijas un identitātes tā aptvēra. Atslēgas aizstāšana var sekot, bet to izšķir pierādījumi, nevis uztraukums.

Novērota eksporta neesamība pierāda tikai to, ka mehānisms, no kura baidījāties, neparādījās. Tas neko nesaka par to, ko vēl varētu būt izdarījis resursdators ligzdas otrā galā.

Turiet kontroles ziņojumā atsevišķi

Aizsargājiet privāto materiālu, ierobežojiet, kas var tam lūgt parakstu, uzturiet pārbaudītu otras puses identitāti. Tie ir trīs kontroles līdzekļi, kas pastiprina viens otru, un neviens no tiem neaizstāj citu, kad skaidrojat, kas notika.

Apdraudēts klēpjdators vai priviliģēta lietotne tajā ir trešais gadījums ar daudz plašāku ietekmi. VPN maršruta maiņa to neatrisina un neatjauno uzticēšanos atslēgai, kas varētu būt nolasīta no diska.

Pierakstiet, kuram komponentam uzticējās, vai pāradresēšana bija ieslēgta un kas patiešām tika novērots. Tieši šis pieraksts padara nākamo lēmumu aizstāvamu, nevis minējumu par to, ko nozīmē noplūde.