SSH агентыг дамжуулах эсвэл түлхүүр хуулах: үнэндээ юу алдагдах вэ

Хоёр өөр үйл явдлыг алдагдсан SSH түлхүүр гэж нэрлэдэг бөгөөд тэд өөр өөр хариу шаарддаг. Нээлттэй түлхүүрийн баталгаажуулалт нь нээлттэй түлхүүр болон хувийн түлхүүрээр хийсэн гарын үсгийг илгээдэг тул хувийн түлхүүр хэзээ ч хүсэлтийн талбар болдоггүй. Агент дамжуулах нь өөр зүйлийг ил гаргадаг, учир нь таны дамжуулсан агент руу хүрч чадах алслагдсан хост түлхүүрийг хэзээ ч барихгүйгээр түүнээс гарын үсэг зурахыг хүсч болно. Эдгээрийг нэг үйл явдал гэж үзвэл үр дүн нь утгагүй түлхүүр солилт эсвэл үргэлжлүүлэн ажиллаж буй төлөөлөл байна.

Нээлттэй түлхүүрээр нэвтрэх нь түлхүүрийг биш, гарын үсгийг дамжуулдаг

Баталгаажуулалтын солилцоо нь хэрэглэгчийн нээлттэй түлхүүр болон сессийн өгөгдөл дээрх гарын үсгийг зөөдөг. Сервер тэр гарын үсгийг аль хэдийн итгэдэг түлхүүрээр шалгадаг, тиймээс хувийн тал нь итгэмжлэгдээгүй сүлжээгээр ч клиент дээр үлдэж чадна. Туннелийг ажиглаж буй VPN оператор ямар ч тохиолдолд шифрлэгдсэн SSH сессийг хардаг.

Энэ нь протоколыг тодорхойлдог, замын бүх төгсгөлийн цэгийн найдвартай байдлыг биш. Хост-ийн таних тэмдгийн шалгалтыг хэвээр хадгал, учир нь аливаа хост түлхүүрийг хүлээн авдаг клиент энд хэлэлцэж буйгаас өөр хяналтаас татгалзсан байна. Баригдсан сесси ба баригдсан түлхүүр нь тусдаа дүгнэлт бөгөөд тэдгээрийн зөвхөн нэг нь итгэмжлэл алдагдах явдал юм. Хоёуланг тайланд тусдаа өгүүлбэрт байлга.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Эхний команд нь нээлттэй хурууны хээг хэвлэдэг тул серверийн жагсаалттай харьцуулж болно. Хоёр дахь нь хэн ч уншаагүй өгөгдмөл утгад найдахын оронд хост түлхүүрийн шалгалтыг тодорхой болгодог. Түлхүүртэй холбоотой ямар нэг зүйлийг өөрчлөхөөс өмнө хоёуланг нь ажиллуулж, суурь шугамыг баримтжуул.

Агент дамжуулах нь гарын үсэг зурах чадварыг шилжүүлдэг

Дамжуулалт идэвхтэй үед алслагдсан хост дээр сокет гарч ирэх бөгөөд локал агент түүгээр ирж буй хүсэлтэд хариулдаг. Сессийн үеэр тэр сокетыг ашиглаж чадах хэн ч ачаалагдсан таних тэмдгүүдийг хүлээн авдаг хостнуудын өмнө таны байдлаар баталгаажиж чадна. Үүнийг ажиллуулахын тулд ямар ч хувийн түлхүүр сүлжээгээр гарахгүй.

Илрэл нь чадвар, файл биш. Тиймээс дамжуулалт нь зөөврийн компьютерийн хийдэг бүх холболтод биш, нэрлэсэн ажил болон нэрлэсэн хостод хамаарна. Дамжуулсан агентгүйгээр холболтыг дамжуулдаг үсрэх хост нь хэрэгцээг ихэвчлэн бүрэн арилгадаг.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Эхнийх нь агент одоо ямар таних тэмдэг бариад байгааг жагсаадаг, үүнийг сокетыг өөр машин руу өгөхөөс өмнө мэдэх нь зүйтэй. Хоёр дахь нь шилжүүлэлгүйгээр холбогддог. Гурав дахь нь дамжуулалтыг ихэвчлэн бүрэн орлох үсрэх хост загварыг харуулдаг.

Хариуг гартаа байгаа нотолгоонд үндэслэн сонго

Илэрсэн гэж үзэж буй гарын үсгийн таних тэмдэг нь солих, хүчингүй болгох үйл явц, мөн түүнд итгэж байсан үйлчилгээнүүдээс түүнийг хүлээн зөвшөөрөхийг хасахыг шаарддаг. Зөөврийн компьютер дээрх хуулбарыг устгах нь бусад бүх хуулбарыг хөндөгдөхгүй үлдээдэг. Үйлчилгээнүүдээс эхэлж, дараа нь клиентүүдийг цэвэрлэ.

Түр зуурын шилжүүлгийн асуудал илүү нарийн. Хэрэгцээгүй байсан дамжуулалтыг зогсоож, ослын эзэнтэй хамт аль сесс, таних тэмдгийг хамарч байсныг хяна. Түлхүүр солих нь дараа нь ирж болно, гэхдээ үүнийг нотолгоо шийднэ, санаа зовнил биш.

Ажиглагдсан экспорт байхгүй нь таны айж байсан механизм илрээгүй гэдгийг л нотолно. Энэ нь тэр сокетын нөгөө төгсгөл дэх хост өөр юу хийж болох байсан тухай юу ч хэлэхгүй.

Тайланд хяналтуудыг тусдаа байлга

Хувийн материалыг хамгаал, түүнээс хэн гарын үсэг хүсч болохыг хязгаарла, нөгөө талын таних тэмдгийг шалгагдсан байлга. Эдгээр нь бие биенээ бэхжүүлдэг гурван хяналт бөгөөд юу болсныг тайлбарлах үед тэдгээрийн аль нь ч нөгөөг орлодоггүй.

Эвдэрсэн зөөврийн компьютер эсвэл түүн дээрх онцгой эрхтэй програм нь хамаагүй өргөн нөлөөтэй гурав дахь тохиолдол юм. VPN маршрутыг өөрчлөх нь үүнийг шийдэхгүй бөгөөд дискнээс уншигдсан байж болох түлхүүрт итгэх итгэлийг сэргээхгүй.

Аль бүрэлдэхүүнд итгэсэн, дамжуулалт идэвхтэй байсан эсэх, үнэндээ юу ажиглагдсаныг бич. Яг тэр бүртгэл нь дараагийн шийдвэрийг алдагдлын утга учирын талаарх таамаглалын оронд хамгаалах боломжтой болгодог.