SSH түлхүүр хуулагдсан уу, эсвэл агент дамжуулагдсан уу? Хоёр өөр эрсдэл

VPN-ээр SSH түлхүүр ашигладаг нэвтрэлт нь хувийн түлхүүрийг сүлжээний операторт шилжүүлсэн гэсэн үг биш бөгөөд энэ тайвшрал хүмүүсийн сонсдогоос илүү нарийн юм. Нийтийн түлхүүрийн баталгаажуулалт нь нийтийн түлхүүр болон клиент локалд үүсгэдэг гарын үсгийг илгээдэг. Агент дамжуулалт нь өөр өртөлттэй өөр зохион байгуулалт бөгөөд таны хянадаггүй машин дээр ашиглах боломжтой баталгаажуулалтын чадвар үлдээж болно. Таны өгөх ёстой хариу нь энэ хоёрын аль нь үнэхээр болсноос хамаарна.

Нийтийн түлхүүрийн баталгаажуулалт юу илгээдэг

Стандарт нийтийн түлхүүрийн аргад клиент нийтийн түлхүүр санал болгодог, сервер тухайн түлхүүрийг хүлээж авах эсэхийг шийддэг, клиент өөрийн файл эсвэл өөрийн агент дотор үлддэг хувийн түлхүүрээр сорилтод гарын үсэг зурдаг. Сүлжээгээр дамждаг нь нийтийн түлхүүр болон түүнээс үүсэх гарын үсэг юм. Тэр солилцоонд сервер, туннель эсвэл замын хэн нэгэн хувийн материалаа хадгалахыг шаарддаг зүйл байхгүй.

Баталгаажуулалтын тодорхойлолт тэр нотолгоог тодорхойлдог бөгөөд хувийн түлхүүр нь хүсэлтийн талбар биш.

Энэ бол протоколын тухай мэдэгдэл, оролцсон эцсийн цэг бүрийн зан чанарын гэрчилгээ биш. Хостны иргэний байдлын шалгалт хэвээр бүрэн байх ёстой, учир нь өөрийгөө хэн болохыг нотолж чадахгүй сервер таны санаагүй зорилгоор гарын үсэг цуглуулж байж болно. Хөлсөлсөн VM, өвлөсөн бастион болон танихгүй өргөтгөл ажиллуулж буй зөөврийн компьютер нь гурван тусдаа итгэлцлийн асуулт юм. Тэдгээрийг үнэхээр шийдэгдсэн криптографын асуултаас тусгаарлаарай.

Агент дамжуулалт юу даалгадаг

Агент дамжуулалт нь алсын хостноос таны машины агент руу буцах суваг нээдэг тул тухайн хостны процессууд хувийн түлхүүрийг хэзээ ч барихгүйгээр агентаас гарын үсэг зурахыг хүсч болно. Түлхүүр нь байгаа газраа үлддэг, чадвар нь үлддэггүй. Алсын хост дээрх тэр дамжуулагдсан сокетод хүрч чадах бүхэн, сессийн амьдралын туршид, ачаалагдсан таних тэмдгүүдийн нэг болж баталгаажуулалтын үйлдэл хүсч болно. Энэ бол даалгасан эрх мэдэл, тиймээс дамжуулалт нь нийтийн түлхүүр шилжүүлэхээс илүү нарийн бодлогод хүртэх ёстой.

Хуулагдсан түлхүүрийн файл бол илчлэлт. Дамжуулагдсан агент бол зөвшөөрөл бөгөөд хоёуланд нь өөр хариу хэрэгтэй.

Дамжуулалтыг нэрлэсэн хэрэгцээ болон нэрлэсэн хостнуудад идэвхжүүлж, клиент бодитоор юу хийдгийг шалгаарай, тохиргоо хэлж байгаа мэт харагдахаас илүүтэй. Үр дүнтэй тохиргоо л чухал, учир нь хост блок нь глобал өгөгдмөл утгыг чимээгүйхэн дарж бичдэг. Ижил логик серверийн талд ч хамаатай бөгөөд байрлуулалтад хэзээ ч хэрэггүй бол дамжуулалтаас бүрэн татгалзаж болно.

Хариу сонгохын өмнө нотолгоог уншаарай

Хувийн түлхүүрийн файл эсвэл түүнтэй адилтгах гарын үсгийн таних тэмдэг ил болсон гэж үзвэл хариу нь танай байгууллагын процесст дамжуулан солих, хүчингүй болгох, мөн түүнд итгэсэн үйлчилгээ бүрээс хүлээн зөвшөөрлийг нь хасах явдал юм. Нэг локал хуулбарыг устгах нь таны харж чадахгүй хуулбаруудыг хүчингүй болгодоггүй.

Хэрэв санаа зовнил нь түр хугацааны агентын нэвтрэлт бол хариу нь илүү нарийн: илүүдэл даалгалтыг зогсоож, оролцсон сесс болон таних тэмдгүүдийг хянаж, солих нь үндэслэлтэй эсэхийг тохиолдлын эзэнд шийдүүлээрэй. Энд нотолгоо чухал, учир нь ажиглагдсан экспорт байхгүй нь ямар ч баталгаажуулалт урвуулан ашиглагдаагүй гэдгийг нотлохгүй, зөвхөн замын өөрчлөлт нь хулгайлагдсан түлхүүрийн онош биш юм. Аль бүрэлдэхүүнд итгэсэн, дамжуулалт идэвхтэй байсан эсэх, бодитоор юу ажиглагдсаныг бичээрэй. Дараа нь тэр бүртгэлд тохирох хариуг сонгох бөгөөд боломжит хамгийн драматик хариуг биш.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Өөрчлөлтийн өмнө болон дараа нь тэдгээрийг ажиллуулж, харьцуулалт ямар нэг утгатай болгоорой. Өмнө нь тогтоосон сесс нь түүнд олгогдсон даалгалтыг хадгална, тохиргоо одоо юу ч гэсэн.

Харилцан солигддоггүй хоёр хяналт

Хувийн материалыг хамгаалах, түүний гарын үсгийг хэн хүсч болохыг хязгаарлах, нөгөө талын таних тэмдгийг баталгаажуулах нь гурван холбоотой хяналт бөгөөд аль нь ч нөгөөг орлохгүй. Хостны түлхүүрүүдийг шалгахгүйгээр дамжуулалтыг хасдаг баг асуудлын талыг зассан. Зам өөрчлөгдсөнөөс түлхүүр эргүүлдэг баг юу ч засаагүй.

Эвдэрсэн эцсийн цэг нь дөрөв дэх асуулт, учир нь таны өөрийн машин дээрх онцгой эрхт програм хангамж пакетуудыг ажиглахаас хамаагүй илүү зүйл хийж чадна.

Ямар нэг зүйлд хүрэхийн өмнө тохиолдлыг тэдгээр ангилалд хувааж, тус бүрд нь эзэн томилоорой. Юунд итгэсэн, юу даалгасан, юу баталгаажуулсныг богино бүртгэл хэлбэрээр хөтөл, учир нь дараагийн хяналтыг өөр нэг маргаан биш харин хямд болгодог нь тэр бүртгэл юм. Аль нэг ангилал тодорхойгүй бол ээлтэй тохиолдлыг таамаглахын оронд тодорхойгүй гэж бичээрэй. Ялгаа нь практик, академик биш: та нэвтрэх мэдээллийг солих уу, сессийг хүчингүй болгох уу, эсвэл зүгээр л дамжуулалтыг зогсоох уу гэдгийг энэ нь шийддэг.