SSH түлхүүрийн нууц үг файлыг хамгаалдаг, замыг биш

Хуучин зөөврийн компьютерний нөөц дискэнд хувийн SSH түлхүүр байсаар байгаа бөгөөд хэн нэгэн VPN үүнийг хамгаалж байгаа эсэхийг асууна. Хамгаалдаггүй, хэзээ ч хамгаалж байгаагүй. VPN хоёр сүлжээний хоорондох замыг хамгаалдаг; нууц үг файлыг хамгаалдаг; агент ажиллаж буй сессийг хамгаалдаг. Гурван өөр механизм, гурван өөр алдааны горим, хулгайлагдсан хуулбар зөвхөн эхний хоёрт л санаа тавьдаг.

Нууц үг файлд хамаарна

SSH түлхүүрийн нууц үг нь тайван байгаа хувийн түлхүүрийн материалыг шифрлэдэг. Энэ нь сервер рүү илгээдэг бүртгэлийн нууц үг ч биш, VPN-д нэгдэхэд хэрэглэдэг итгэмжлэл ч биш. Эдгээрийг хольж ойлговол илрэлийг шийдэхгүй өөрчлөлтөд хүргэдэг.

OpenSSH-ийн ssh-keygen гарын авлага нь нууц үгтэй ажиллах, түүний дотор аль хэдийн байгаа түлхүүрт шинэ нууц үг тогтоодог -p унтраалгыг хамарна.

Байгаа түлхүүрийн хувьд командын хэлбэр энгийн бөгөөд файлыг дахин бичнэ:

ssh-keygen -p -f ~/.ssh/id_ed25519

Энэ нь шалгалт биш, бичилт тул түлхүүрийн эзэмшигчийн зөвшөөрсөн засвар үйлчилгээ, сэргээх үйл явцыг ашиглана уу. Хувийн файлыг нийтлэхгүй, жинхэнэ нууц үгийг хуваалцсан командын мөрөнд бүү тавь. Нууц үгийг солих нь өмнө авсан хуулбарыг дахин шифрлэхгүй. Хуучин хуулбарын байршлыг тасалбарт тэмдэглэснээр эзэмшигч устгах эсэхийг шийдэж чадна.

Хуулбар зөөврийн компьютер, туннелээс урт насална

Түлхүүрийн файлыг хуулсны дараа зөөврийн компьютерний идэвхтэй VPN холболт түүний тухай юу ч хэлэхгүй. Чухал нь файл өөрөө хэр сайн хамгаалагдсан ба аль серверүүд тохирох нийтийн түлхүүрт итгэсээр байгаа юм.

Одоогийн файлын нууц үгийг солих нь хуулбарт хүрэхгүй бөгөөд серверийн authorized_keys-ээс мөн тэр нийтийн түлхүүрийг арилгахгүй. Цуцлалт ба дахин шифрлэлт нь тусдаа үйлдэл юм.

Тиймээс алдагдсан хувийн түлхүүрийг сүлжээний үйл явдал биш, таних тэмдгийн үйл явдал гэж үзнэ үү. Хүлээн зөвшөөрсөн түлхүүрийг түүнийг эзэмшдэг серверүүд болон бүртгэлийн процессоор дамжуулан устгах эсвэл солино уу. VPN-ийг зогсоох нь нэг мөчид нэг замыг хязгаарладаг; энэ нь цуцлалт биш.

Түгжээ тайлах нь нууцыг агент руу зөөдөг

Агент дараагийн баталгаажуулалтад зориулж тайлагдсан таних тэмдгүүдийг хадгалдаг тул хэрэглэгч холболт бүрт нууц үгээ дахин бичих шаардлагагүй. Энэ нь өөрийн аюулгүй байдлын хязгаартай тав тухын шинж юм.

ssh-agent нь -t сонголтоор таних тэмдэг хэр удаан ачаалагдсаар байхыг хязгаарлаж чадах бөгөөд тусдаа таних тэмдгийн тохиргоо энэ хязгаараас хэтэрч болно. VPN салсны дараа ачаалагдсан бүх түлхүүр мартагдана гэж таамаглахын оронд бодитоор ажиллуулж буй агентын бодлогыг сонгоно уу.

Түлхүүрийн түгжээ тайлагдсаны дараа эвдэрсэн процесс нь хулгайлагдсан шифрлэгдсэн файлаас өөр асуудал юм. Агентыг өөр хост руу дамжуулах нь түлхүүрийн файлыг хуулахгүйгээр баталгаажуулах чадварыг шилжүүлдэг тул зөвхөн зөвшөөрөгдсөн хэрэгцээнд идэвхжүүлнэ үү.

Агент одоо юу хадгалж байгааг өөрчлөлтийн өмнө болон дараа жагсаана уу:

ssh-add -l

Хяналтгүй ажлуудад өөрийн төлөвлөгөө хэрэгтэй

Товлосон ажил хүсэлтэд хариулж чадахгүй. Түүнд машины итгэмжлэлийн зөвшөөрөгдсөн зохион байгуулалт хэрэгтэй бөгөөд түгжээ тайлах нууцыг түлхүүртэй нэг хавтаст, мөн бүртгэлд уншигдахуйц байлгах нь хоёр дахь хязгаар үүсгэхгүй.

Дэмжигдсэн нууц дамжуулалт эсвэл техник хангамжид суурилсан ажиллагааны талаар үйлчилгээний эзэмшигчтэй хамтран ажиллаж, шинэчлэлт, доголдол, сэргээлтийг хамарна уу. Гар дээр хүн байхыг хүсэх нь хэн ч харахгүйгээр ачаалдаг хосттой харьцуулахад доголдлын дүр төрхийг өөрчилдөг.

Серверийн хостын таних тэмдгийн шалгалт, түүний бүртгэлийн хязгаарлалтыг мөн хадгална уу. VPN зам танд хувийн зам өгдөг; энэ нь хүрч болох SSH сонсогч бүр таны зорьсон хост гэдгийг нотолдоггүй. Сонсогч болон хостын түлхүүрийн хурууны хээг түлхүүрийн адил нэг бүртгэлд тэмдэглэнэ үү.

Хязгааруудыг тус тусад нь шалгана уу

Хязгаар бүрийг өөрийн асуултаар шалгана уу. Нууц үггүйгээр файл нээгдэж байна уу? Салсны дараа ч агент таних тэмдгийг хадгалж байна уу? Сервер нийтийн түлхүүрийг хүлээж авсаар байна уу?

Хоёр команд эхний болон гуравдугаар асуултад хариулна:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Файлын хамгаалалт, түлхүүрийн зөвшөөрөгдсөн хэрэглээ, серверийн талын устгалтыг гурван тусдаа мөр болгон тэмдэглэнэ үү. Туннел, нууц үг, агент тус бүр харилцааны өөр хэсгийг хамгаалдаг бөгөөд тэдгээрийн зөвхөн нэг нь сүлжээний тухай.