SSH एजंट फॉरवर्डिंग विरुद्ध की कॉपी करणे: प्रत्यक्षात काय गळते

दोन वेगळ्या घटनांना गळलेली SSH की म्हणतात, आणि त्यांना वेगळ्या प्रतिक्रिया लागतात। सार्वजनिक की प्रमाणीकरण सार्वजनिक की आणि खाजगी कीने तयार केलेली स्वाक्षरी पाठवते, त्यामुळे खाजगी की कधीही विनंतीतील क्षेत्र नसते। एजंट फॉरवर्डिंग दुसरे काहीतरी उघड करते, कारण तुमच्या फॉरवर्ड केलेल्या एजंटपर्यंत पोहोचू शकणारा दूरचा होस्ट की कधीही न धरता त्याला स्वाक्षरी करायला सांगू शकतो। या दोन्हींना एक घटना मानले तर निष्कारण की बदल किंवा चालू राहणारे प्रतिनिधित्व अशी अट येते।

सार्वजनिक की लॉगिन की नाही, स्वाक्षरी पाठवते

प्रमाणीकरणाची देवघेव वापरकर्त्याची सार्वजनिक की आणि सत्र-डेटावरील स्वाक्षरी वाहून नेते। सर्व्हर ती स्वाक्षरी आधीपासून विश्वास असलेल्या कीने तपासतो, म्हणून खाजगी अर्धा भाग अविश्वसनीय नेटवर्कवरूनही क्लायंटवर राहू शकतो। टनेल पाहणारा VPN ऑपरेटर कोणत्याही परिस्थितीत एन्क्रिप्ट केलेले SSH सत्र पाहतो।

ते प्रोटोकॉलचे वर्णन आहे, मार्गावरील प्रत्येक टोकाच्या विश्वासार्हतेचे नाही। होस्ट-ओळख पडताळणी अभंग ठेवा, कारण कोणतीही होस्ट की स्वीकारणारा क्लायंट येथे चर्चिल्या जाणाऱ्यापेक्षा वेगळ्या नियंत्रणाचा त्याग करतो। पकडलेले सत्र आणि पकडलेली की वेगळी निष्कर्ष आहेत, आणि त्यातील फक्त एकच ओळखपत्रांची हानी आहे। दोन्ही अहवालात वेगळ्या वाक्यांत ठेवा।

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

पहिला आदेश सार्वजनिक बोटांचा ठसा छापतो, जेणेकरून सर्व्हर जे सूचीबद्ध करतो त्याशी तुम्ही तुलना करू शकता। दुसरा आदेश कोणीही न वाचलेल्या डीफॉल्टवर अवलंबून राहण्याऐवजी होस्ट-की तपासणी स्पष्ट करतो। कींबद्दल काही बदलण्यापूर्वी दोन्ही चालवा, जेणेकरून आधाररेषा नोंदवली जाईल।

एजंट फॉरवर्डिंग स्वाक्षरी करण्याची क्षमता सोपवते

फॉरवर्डिंग सुरू असल्यास दूरच्या होस्टवर सॉकेट दिसते आणि स्थानिक एजंट त्यातून येणाऱ्या विनंत्यांना उत्तर देतो। सत्राच्या काळात ते सॉकेट वापरू शकणारा कोणीही लोड केलेल्या ओळखी स्वीकारणाऱ्या होस्टसमोर तुमच्या रूपात प्रमाणित होऊ शकतो। ते कार्यान्वित व्हावे म्हणून कोणतीही खाजगी की नेटवर्क ओलांडत नाही।

उघड होणे म्हणजे क्षमता, फाइल नाही। म्हणून फॉरवर्डिंग लॅपटॉप करत असलेल्या प्रत्येक कनेक्शनचे नाही, तर नामांकित कार्य आणि नामांकित होस्टचे असते। फॉरवर्ड केलेल्या एजंटशिवाय कनेक्शन पुढे पाठवणारा जंप होस्ट सहसा गरजच पूर्णपणे काढून टाकतो।

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

पहिला एजंट सध्या कोणत्या ओळखी ठेवतो हे सूचीबद्ध करतो, जे त्याचे सॉकेट दुसऱ्या यंत्राला देण्यापूर्वी जाणून घेण्यासारखे आहे। दुसरा प्रतिनिधित्वाशिवाय जोडतो। तिसरा फॉरवर्डिंगची जागा बऱ्याचदा पूर्णपणे घेणारा जंप-होस्ट नमुना दाखवतो।

तुमच्याकडे असलेल्या पुराव्यावरून प्रतिक्रिया निवडा

उघड झाली असे मानल्या जाणाऱ्या स्वाक्षरी-ओळखीसाठी बदली आणि रद्दीकरणाची प्रक्रिया लागते, आणि तिच्यावर विश्वास ठेवणाऱ्या सेवांकडून तिची स्वीकृती काढून टाकणे लागते। लॅपटॉपवरील प्रत मिटवल्यास इतर सर्व प्रती अस्पर्श राहतात। सेवांपासून सुरुवात करा, नंतर क्लायंट स्वच्छ करा।

तात्पुरती प्रतिनिधित्वाची समस्या अधिक मर्यादित आहे। जे फॉरवर्डिंग आवश्यक नव्हते ते संपवा, आणि घटनेच्या मालकासमवेत ते कोणती सत्रे आणि ओळखी व्यापत होते ते पाहा। की बदली नंतर येऊ शकते, पण ते पुरावे ठरवतात, काळजी नाही।

कोणतीही निरीक्षित निर्यात नसणे हे केवळ तुम्ही भिणारी यंत्रणा दिसली नाही हे सिद्ध करते। त्या सॉकेटच्या दुसऱ्या टोकावरील होस्ट अजून काय करू शकला असता याबद्दल ते काहीच सांगत नाही।

अहवालात नियंत्रणे वेगळी ठेवा

खाजगी सामग्रीचे रक्षण करा, तिच्याकडून कोण स्वाक्षरी मागू शकतो ते मर्यादित करा, दुसऱ्या बाजूची ओळख पडताळलेली ठेवा। ही परस्परांना बळकट करणारी तीन नियंत्रणे आहेत, आणि काय घडले ते सांगताना यातील कोणतेही दुसऱ्याची जागा घेत नाही।

तडजोड झालेला लॅपटॉप किंवा त्यावरील विशेषाधिकारित अनुप्रयोग हे खूप मोठ्या परिणाम-व्याप्तीचे तिसरे प्रकरण आहे। VPN मार्ग बदलल्याने ते सुटत नाही आणि डिस्कवरून वाचली गेलेली असू शकणारी की यावरील विश्वास परत येत नाही।

कोणत्या घटकावर विश्वास होता, फॉरवर्डिंग सुरू होते का, आणि प्रत्यक्षात काय निरीक्षण केले गेले ते लिहा। तीच नोंद पुढील निर्णय गळतीच्या अर्थाबद्दलच्या अंदाजाऐवजी समर्थनीय करते।