SSH atslēga nokopēta vai aģents pārsūtīts? Divi dažādi riski

Pieteikšanās, kas izmanto SSH atslēgu caur VPN, nenozīmē, ka privātā atslēga tika nodota tīkla operatoram, un šis nomierinājums ir šaurāks, nekā cilvēki dzird. Publiskās atslēgas autentifikācija nosūta publisko atslēgu un parakstu, ko klients izveido lokāli. Aģenta pārsūtīšana ir cita kārtība ar citu pakļautību, un tā var atstāt izmantojamu autentifikācijas spēju mašīnā, kuru jūs nepārvaldāt. Atbilde, kas jums jāsniedz, ir atkarīga no tā, kurš no diviem patiešām notika.

Ko nosūta publiskās atslēgas autentifikācija

Standarta publiskās atslēgas metodē klients piedāvā publisko atslēgu, serveris izlemj, vai pieņemt šo atslēgu, un klients paraksta izaicinājumu ar privāto atslēgu, kas paliek tā failā vai tā aģentā. Pa tīklu iet publiskā atslēga un no tās izrietošais paraksts. Nekas šajā apmaiņā neprasa, lai serveris, tunelis vai kāds ceļā turētu privāto materiālu.

Autentifikācijas specifikācija definē šo pierādījumu, un privātā atslēga nav pieprasījuma lauks.

Tas ir apgalvojums par protokolu, nevis rakstura apliecinājums katram iesaistītajam galapunktam. Resursdatora identitātes pārbaudei joprojām jābūt neskartai, jo serveris, kas nevar pierādīt, kas tas ir, var vākt parakstus mērķim, kuru jūs neplānojāt. Īrēta VM, mantots bastions un klēpjdators ar nezināmu paplašinājumu ir trīs atsevišķi uzticēšanās jautājumi. Turiet tos atsevišķi no kriptogrāfiskā, kas patiešām ir atrisināts.

Ko deleģē aģenta pārsūtīšana

Aģenta pārsūtīšana atver kanālu no attālā resursdatora atpakaļ uz aģentu jūsu mašīnā, tāpēc šī resursdatora procesi var lūgt aģentam parakstīt, nekad neturot privāto atslēgu. Atslēga paliek tur, kur tā ir, un spēja ne. Viss, kas spēj sasniegt šo pārsūtīto ligzdu attālajā resursdatorā, sesijas laikā, var pieprasīt autentifikācijas darbības kā vienu no ielādētajām identitātēm. Tas ir deleģēta pilnvara, tāpēc pārsūtīšana ir pelnījusi šaurāku politiku nekā publiskās atslēgas nodošana.

Nokopēts atslēgas fails ir atklāšana. Pārsūtīts aģents ir atļauja, un abiem vajadzīgas dažādas atbildes.

Iespējojiet pārsūtīšanu nosauktai vajadzībai un nosauktiem resursdatoriem, un pārbaudiet, ko klients patiešām dara, nevis ko konfigurācija šķietami saka. Svarīgi ir efektīvie iestatījumi, jo resursdatora bloks klusi aizstāj globālo noklusējumu. Tā pati loģika attiecas uz servera pusi, kas var pilnībā atteikties no pārsūtīšanas, kad izvietojumam tā nekad nav vajadzīga.

Izlasiet pierādījumus pirms atbildes izvēles

Ja tiek uzskatīts, ka privātās atslēgas fails vai līdzvērtīga parakstīšanas identitāte ir atklāta, atbilde ir aizstāšana un atsaukšana jūsu organizācijas procesā, kā arī tā pieņemšanas noņemšana no katra pakalpojuma, kas tam uzticējās. Vienas lokālas kopijas dzēšana nepadara nederīgas kopijas, kuras jūs neredzat.

Ja bažas ir par īslaicīgu aģenta piekļuvi, atbilde ir šaurāka: apturiet nevajadzīgo deleģēšanu, pārskatiet iesaistītās sesijas un identitātes, un ļaujiet incidenta īpašniekam izlemt, vai aizstāšana ir pamatota. Šeit svarīgi ir pierādījumi, jo nav novērota eksporta, kas neapstiprina, ka autentifikācija nav ļaunprātīgi izmantota, un tikai ceļa maiņa nav nozagtas atslēgas diagnoze. Pierakstiet, kuram komponentam uzticējās, vai pārsūtīšana bija iespējota un kas patiešām tika novērots. Pēc tam izvēlieties atbildi, kas atbilst šim ierakstam, nevis dramatiskāko pieejamo.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Palaidiet tos pirms izmaiņām un pēc tām, lai salīdzinājumam būtu jēga. Iepriekš izveidota sesija saglabā tai piešķirto deleģēšanu, lai ko iestatījumi tagad teiktu.

Divi kontroles, kas nav aizstājamas

Privātā materiāla aizsardzība, ierobežošana, kas var lūgt tā parakstu, un otras puses identitātes pārbaude ir trīs saistītas kontroles, un neviena neaizstāj otru. Komanda, kas noņem pārsūtīšanu, nepārbaudot resursdatoru atslēgas, ir izlabojusi pusi problēmas. Komanda, kas maina atslēgu, jo mainījās maršruts, nav izlabojusi neko.

Apdraudēts galapunkts ir ceturtais jautājums, jo priviliģēta programmatūra jūsu paša mašīnā var izdarīt daudz vairāk nekā novērot paketes.

Sašķirojiet incidentu šajās kategorijās, pirms kaut kam pieskaraties, un katrai piešķiriet īpašnieku. Uzturiet īsu ierakstu par to, kam uzticējās, kas tika deleģēts un kas tika pārbaudīts, jo šis ieraksts padara nākamo pārskatu lētu, nevis vēl vienas debates. Ja kāda kategorija nav zināma, rakstiet nezināma, nevis pieņemiet labvēlīgo gadījumu. Atšķirība ir praktiska, nevis akadēmiska: tā izlemj, vai jūs aizstājat akreditācijas datus, atsaucat sesiju vai vienkārši pārtraucat pārsūtīšanu.