SSH കീ പകർത്തിയോ ഏജന്റ് ഫോർവേഡ് ചെയ്തോ? രണ്ട് വ്യത്യസ്ത അപകടസാധ്യതകൾ

VPN വഴി SSH കീ ഉപയോഗിക്കുന്ന ലോഗിൻ സ്വകാര്യ കീ നെറ്റ്വർക്ക് ഓപ്പറേറ്റർക്ക് കൈമാറി എന്ന് അർഥമാക്കുന്നില്ല, ആ ഉറപ്പ് ആളുകൾ കേൾക്കുന്നതിനേക്കാൾ ഇടുങ്ങിയതാണ്. പൊതു-കീ ആധികാരികത്വം ഒരു പൊതു കീയും ക്ലയന്റ് പ്രാദേശികമായി സൃഷ്ടിക്കുന്ന ഒരു ഒപ്പും അയയ്ക്കുന്നു. ഏജന്റ് ഫോർവേഡിംഗ് വ്യത്യസ്ത എക്സ്പോഷറുള്ള വ്യത്യസ്ത ക്രമീകരണമാണ്, നിങ്ങൾ നിയന്ത്രിക്കാത്ത ഒരു യന്ത്രത്തിൽ ഉപയോഗയോഗ്യമായ ആധികാരികത്വ ശേഷി അവശേഷിപ്പിക്കാം. നിങ്ങൾ നൽകേണ്ട പ്രതികരണം ഈ രണ്ടിൽ ഏതാണ് യഥാർത്ഥത്തിൽ സംഭവിച്ചത് എന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു.

പൊതു-കീ ആധികാരികത്വം എന്ത് അയയ്ക്കുന്നു

സാധാരണ പൊതു-കീ രീതിയിൽ ക്ലയന്റ് ഒരു പൊതു കീ നൽകുന്നു, സർവർ ആ കീ സ്വീകരിക്കുന്നുണ്ടോ എന്ന് തീരുമാനിക്കുന്നു, ക്ലയന്റ് തന്റെ ഫയലിലോ ഏജന്റിലോ തുടരുന്ന സ്വകാര്യ കീ ഉപയോഗിച്ച് ഒരു വെല്ലുവിളിയിൽ ഒപ്പിടുന്നു. നെറ്റ്വർക്ക് കടക്കുന്നത് പൊതു കീയും അതിൽ നിന്നുണ്ടാകുന്ന ഒപ്പുമാണ്. ആ കൈമാറ്റത്തിൽ സർവർ, ടണൽ, വഴിയിലുള്ള ആരും സ്വകാര്യ വസ്തു സൂക്ഷിക്കണമെന്ന് ഒന്നും ആവശ്യപ്പെടുന്നില്ല.

ആധികാരികത്വ സ്പെസിഫിക്കേഷൻ ആ തെളിവ് നിർവചിക്കുന്നു, സ്വകാര്യ കീ അപേക്ഷയിലെ ഒരു ഫീൽഡല്ല.

ഇത് പ്രോട്ടോക്കോളിനെക്കുറിച്ചുള്ള പ്രസ്താവനയാണ്, ഉൾപ്പെട്ട ഓരോ എൻഡ്പോയിന്റിനുമുള്ള സ്വഭാവ സർട്ടിഫിക്കറ്റല്ല. ഹോസ്റ്റ് ഐഡന്റിറ്റി പരിശോധന ഇപ്പോഴും അക്ഷതമായിരിക്കണം, കാരണം താൻ ആരെന്ന് തെളിയിക്കാനാകാത്ത ഒരു സർവർ നിങ്ങൾ ഉദ്ദേശിക്കാത്ത ഒരു ലക്ഷ്യത്തിനായി ഒപ്പുകൾ ശേഖരിക്കുന്നുണ്ടാകാം. വാടകയ്ക്കെടുത്ത VM, പാരമ്പര്യമായി ലഭിച്ച ബാസ്റ്റ്യൻ, അപരിചിതമായ എക്സ്റ്റൻഷൻ പ്രവർത്തിപ്പിക്കുന്ന ലാപ്ടോപ്പ് എന്നിവ മൂന്ന് വേറിട്ട വിശ്വാസ ചോദ്യങ്ങളാണ്. അവയെ യഥാർത്ഥത്തിൽ തീർപ്പായ ക്രിപ്റ്റോഗ്രാഫിക് ചോദ്യത്തിൽ നിന്ന് വേർതിരിക്കുക.

ഏജന്റ് ഫോർവേഡിംഗ് എന്ത് ഡെലിഗേറ്റ് ചെയ്യുന്നു

ഏജന്റ് ഫോർവേഡിംഗ് ദൂരെയുള്ള ഹോസ്റ്റിൽ നിന്ന് നിങ്ങളുടെ യന്ത്രത്തിലെ ഏജന്റിലേക്ക് ഒരു ചാനൽ തുറക്കുന്നു, അതിനാൽ ആ ഹോസ്റ്റിലെ പ്രോസസ്സുകൾക്ക് സ്വകാര്യ കീ ഒരിക്കലും കൈവശം വയ്ക്കാതെ ഏജന്റിനോട് ഒപ്പിടാൻ ആവശ്യപ്പെടാം. കീ ഉള്ളിടത്ത് തന്നെ തുടരുന്നു, കഴിവ് തുടരുന്നില്ല. ദൂരെയുള്ള ഹോസ്റ്റിലെ ആ ഫോർവേഡ് ചെയ്ത സോക്കറ്റിൽ എത്താൻ കഴിയുന്ന ഏതിനും, സെഷന്റെ ആയുസ്സിൽ, ലോഡ് ചെയ്ത ഐഡന്റിറ്റികളിൽ ഒന്നായി ആധികാരികത്വ പ്രവർത്തനങ്ങൾ അഭ്യർത്ഥിക്കാം. അതാണ് ഡെലിഗേറ്റ് ചെയ്ത അധികാരം, അതുകൊണ്ടാണ് ഫോർവേഡിംഗ് ഒരു പൊതു കീ കൈമാറ്റത്തേക്കാൾ ഇടുങ്ങിയ നയത്തിന് അർഹതയുള്ളത്.

പകർത്തിയ കീ ഫയൽ ഒരു വെളിപ്പെടുത്തലാണ്. ഫോർവേഡ് ചെയ്ത ഏജന്റ് ഒരു അനുമതിയാണ്, രണ്ടിനും വ്യത്യസ്ത ഉത്തരങ്ങൾ വേണം.

പേരിട്ട ആവശ്യത്തിനും പേരിട്ട ഹോസ്റ്റുകൾക്കും ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമാക്കുക, കോൺഫിഗറേഷൻ പറയുന്നതായി തോന്നുന്നതിനേക്കാൾ ക്ലയന്റ് യഥാർത്ഥത്തിൽ എന്ത് ചെയ്യുന്നു എന്ന് പരിശോധിക്കുക. ഫലപ്രദമായ ക്രമീകരണങ്ങളാണ് പ്രധാനം, കാരണം ഒരു ഹോസ്റ്റ് ബ്ലോക്ക് ആഗോള സ്ഥിരസ്ഥിതിയെ നിശബ്ദമായി അതിലംഘിക്കുന്നു. അതേ യുക്തി സർവർ ഭാഗത്തും ബാധകമാണ്, വിന്യാസത്തിന് ഒരിക്കലും ആവശ്യമില്ലാത്തപ്പോൾ അത് ഫോർവേഡിംഗ് പൂർണ്ണമായും നിരസിക്കാം.

ഉത്തരം തിരഞ്ഞെടുക്കുന്നതിന് മുമ്പ് തെളിവുകൾ വായിക്കുക

ഒരു സ്വകാര്യ കീ ഫയലോ തത്തുല്യമായ ഒപ്പ് ഐഡന്റിറ്റിയോ വെളിപ്പെട്ടു എന്ന് വിശ്വസിക്കുന്നുവെങ്കിൽ, പ്രതികരണം നിങ്ങളുടെ സ്ഥാപനത്തിന്റെ പ്രക്രിയയിലൂടെയുള്ള മാറ്റിസ്ഥാപിക്കലും റദ്ദാക്കലുമാണ്, കൂടാതെ അതിൽ വിശ്വസിച്ച ഓരോ സേവനത്തിൽ നിന്നും അതിന്റെ സ്വീകാര്യത നീക്കം ചെയ്യുകയും വേണം. ഒരു പ്രാദേശിക പകർപ്പ് ഇല്ലാതാക്കുന്നത് നിങ്ങൾ കാണാത്ത പകർപ്പുകളെ അസാധുവാക്കുന്നില്ല.

ആശങ്ക താൽക്കാലിക ഏജന്റ് പ്രവേശനമാണെങ്കിൽ, പ്രതികരണം ഇടുങ്ങിയതാണ്: അനാവശ്യമായ ഡെലിഗേഷൻ നിർത്തുക, ഉൾപ്പെട്ട സെഷനുകളും ഐഡന്റിറ്റികളും പരിശോധിക്കുക, മാറ്റിസ്ഥാപിക്കൽ ന്യായീകരിക്കപ്പെടുന്നുണ്ടോ എന്ന് സംഭവത്തിന്റെ ഉടമ തീരുമാനിക്കട്ടെ. ഇവിടെ തെളിവ് പ്രധാനമാണ്, കാരണം നിരീക്ഷിക്കപ്പെട്ട ഒരു കയറ്റുമതിയും ഇല്ലാത്തത് ഒരു ആധികാരികത്വവും ദുരുപയോഗം ചെയ്തിട്ടില്ലെന്ന് തെളിയിക്കുന്നില്ല, പാത മാറിയത് മാത്രം മോഷ്ടിച്ച കീയുടെ രോഗനിർണയവുമല്ല. ഏത് ഘടകത്തിൽ വിശ്വസിച്ചു, ഫോർവേഡിംഗ് പ്രവർത്തനക്ഷമമായിരുന്നോ, യഥാർത്ഥത്തിൽ എന്ത് നിരീക്ഷിച്ചു എന്ന് എഴുതിവയ്ക്കുക. തുടർന്ന് ആ രേഖയ്ക്ക് യോജിക്കുന്ന പ്രതികരണം തിരഞ്ഞെടുക്കുക, ലഭ്യമായ ഏറ്റവും നാടകീയമായതല്ല.

ssh-add -l
ssh -G host.example | grep -i forwardagent

മാറ്റത്തിന് മുമ്പും ശേഷവും അവ പ്രവർത്തിപ്പിക്കുക, താരതമ്യത്തിന് അർഥമുണ്ടാകാൻ. മുമ്പ് സ്ഥാപിച്ച ഒരു സെഷൻ അതിന് നൽകിയ ഡെലിഗേഷൻ നിലനിർത്തുന്നു, ഇപ്പോൾ ക്രമീകരണങ്ങൾ എന്ത് പറഞ്ഞാലും.

പരസ്പരം മാറ്റാൻ കഴിയാത്ത രണ്ട് നിയന്ത്രണങ്ങൾ

സ്വകാര്യ വസ്തു സംരക്ഷിക്കുക, അതിന്റെ ഒപ്പ് ആര് ആവശ്യപ്പെടാം എന്ന് പരിമിതപ്പെടുത്തുക, എതിർകക്ഷിയുടെ ഐഡന്റിറ്റി പരിശോധിക്കുക എന്നിവ മൂന്ന് ബന്ധപ്പെട്ട നിയന്ത്രണങ്ങളാണ്, ഒന്നും മറ്റൊന്നിന് പകരമാകുന്നില്ല. ഹോസ്റ്റ് കീകൾ പരിശോധിക്കാതെ ഫോർവേഡിംഗ് നീക്കം ചെയ്യുന്ന സംഘം പ്രശ്നത്തിന്റെ പകുതി ശരിയാക്കി. പാത മാറിയതിനാൽ കീ കറക്കുന്ന സംഘം ഒന്നും ശരിയാക്കിയില്ല.

അപകടത്തിലായ എൻഡ്പോയിന്റ് നാലാമത്തെ ചോദ്യമാണ്, കാരണം നിങ്ങളുടെ സ്വന്തം യന്ത്രത്തിലെ പ്രത്യേകാവകാശ സോഫ്റ്റ്വെയർ പാക്കറ്റുകൾ നിരീക്ഷിക്കുന്നതിനേക്കാൾ വളരെയധികം ചെയ്യാം.

എന്തിലും സ്പർശിക്കുന്നതിന് മുമ്പ് സംഭവത്തെ ആ വിഭാഗങ്ങളിലേക്ക് തരംതിരിക്കുക, ഓരോന്നിനും ഒരു ഉടമയെ നൽകുക. എന്തിൽ വിശ്വസിച്ചു, എന്ത് ഡെലിഗേറ്റ് ചെയ്തു, എന്ത് പരിശോധിച്ചു എന്നതിന്റെ ഒരു ചെറിയ രേഖ സൂക്ഷിക്കുക, കാരണം ആ രേഖയാണ് അടുത്ത അവലോകനത്തെ മറ്റൊരു ചർച്ചയ്ക്ക് പകരം വിലകുറഞ്ഞതാക്കുന്നത്. ഏതെങ്കിലും വിഭാഗം അജ്ഞാതമാണെങ്കിൽ, നിരുപദ്രവകരമായ കേസ് അനുമാനിക്കുന്നതിന് പകരം അജ്ഞാതം എന്ന് എഴുതുക. വ്യത്യാസം പ്രായോഗികമാണ്, അക്കാദമികമല്ല: നിങ്ങൾ ഒരു ക്രെഡൻഷ്യൽ മാറ്റിസ്ഥാപിക്കുന്നുണ്ടോ, സെഷൻ റദ്ദാക്കുന്നുണ്ടോ, അതോ ഫോർവേഡിംഗ് നിർത്തുന്നുണ്ടോ എന്ന് അത് തീരുമാനിക്കുന്നു.