SSH की कॉपी झाली की एजंट फॉरवर्ड? दोन वेगळे धोके

VPN मधून SSH की वापरणारे लॉगिन म्हणजे खाजगी की नेटवर्क ऑपरेटरला दिली गेली असे नाही, आणि हे आश्वासन लोक ऐकतात त्यापेक्षा अरुंद आहे। सार्वजनिक-की प्रमाणीकरण सार्वजनिक की आणि क्लायंट स्थानिक पातळीवर तयार करतो ती सही पाठवते। एजंट फॉरवर्डिंग वेगळ्या उघडकीसह वेगळी व्यवस्था आहे, आणि तुम्ही नियंत्रित न करणाऱ्या मशीनवर वापरण्यायोग्य प्रमाणीकरण क्षमता सोडू शकते। तुम्ही देय असलेला प्रतिसाद या दोनपैकी प्रत्यक्षात काय घडले यावर अवलंबून आहे।

सार्वजनिक-की प्रमाणीकरण काय पाठवते

मानक सार्वजनिक-की पद्धतीत क्लायंट सार्वजनिक की सादर करतो, सर्व्हर ती की स्वीकारायची की नाही हे ठरवतो, आणि क्लायंट आपल्या फाइलमध्ये किंवा एजंटमध्ये राहणाऱ्या खाजगी की ने आव्हानावर सही करतो। नेटवर्क ओलांडणारी गोष्ट म्हणजे सार्वजनिक की आणि त्यातून तयार होणारी सही। त्या देवाणघेवाणीत सर्व्हर, बोगदा किंवा मार्गावरील कोणालाही खाजगी सामग्री ठेवण्याची आवश्यकता नाही।

प्रमाणीकरण विशिष्टीकरण तो पुरावा परिभाषित करते, आणि खाजगी की विनंतीतील क्षेत्र नाही।

हे प्रोटोकॉलबद्दलचे विधान आहे, सहभागी प्रत्येक अंतिम बिंदूसाठी चारित्र्य-प्रमाणपत्र नाही। यजमान ओळखेची तपासणी तरीही अभंग राहिली पाहिजे, कारण स्वतःला सिद्ध करू न शकणारा सर्व्हर तुम्ही हेतू न धरलेल्या कारणासाठी सह्या गोळा करत असेल। भाड्याची VM, वारसाहक्काने मिळालेला बास्टियन आणि अनोळखी विस्तार चालवणारा लॅपटॉप हे तीन वेगळे विश्वास-प्रश्न आहेत। त्यांना खऱ्या अर्थाने निकाली निघालेल्या क्रिप्टोग्राफिक प्रश्नापासून वेगळे ठेवा।

एजंट फॉरवर्डिंग काय प्रतिनिधिलेख करते

एजंट फॉरवर्डिंग दूरच्या यजमानापासून तुमच्या मशीनवरील एजंटपर्यंत चॅनेल उघडते, जेणेकरून त्या यजमानावरील प्रक्रिया खाजगी की न धरता एजंटला सही करायला सांगू शकतात। की जिथे आहे तिथेच राहते, आणि क्षमता राहत नाही। दूरच्या यजमानावरील त्या फॉरवर्ड केलेल्या सॉकेटपर्यंत पोहोचू शकणारे काहीही, सत्राच्या आयुष्यात, लोड केलेल्या ओळखींपैकी एक म्हणून प्रमाणीकरण क्रिया मागू शकते। हे प्रतिनिधिलेख अधिकार आहे, म्हणून फॉरवर्डिंग सार्वजनिक की सुपूर्द करण्यापेक्षा अरुंद धोरणास पात्र आहे।

कॉपी केलेली की फाइल म्हणजे उघडकी। फॉरवर्ड केलेला एजंट म्हणजे परवानगी, आणि दोघांना वेगळे उत्तर हवे।

नामनिर्देशित गरज आणि नामनिर्देशित यजमानांसाठी फॉरवर्डिंग सक्षम करा, आणि संरचना सांगत असल्यासारखे दिसते त्याऐवजी क्लायंट प्रत्यक्षात काय करतो ते तपासा। प्रभावी सेटिंग्ज महत्त्वाच्या आहेत, कारण यजमान ब्लॉक जागतिक डीफॉल्टला शांतपणे मागे टाकतो। तोच तर्क सर्व्हरच्या बाजूलाही लागू होतो, जो तैनातीला कधीही गरज नसल्यास फॉरवर्डिंग पूर्णपणे नाकारू शकतो।

उत्तर निवडण्यापूर्वी पुरावे वाचा

खाजगी की फाइल किंवा समतुल्य सही ओळख उघड झाली असे मानले तर प्रतिसाद म्हणजे तुमच्या संस्थेच्या प्रक्रियेद्वारे बदलणे आणि रद्द करणे, तसेच तिच्यावर विश्वास ठेवणाऱ्या प्रत्येक सेवेतून तिची स्वीकृती काढणे। एक स्थानिक प्रत डिलीट केल्याने तुम्हाला न दिसणाऱ्या प्रती अवैध होत नाहीत।

चिंता तात्पुरत्या एजंट प्रवेशाची असल्यास प्रतिसाद अधिक अरुंद आहे: अनावश्यक प्रतिनिधिलेख थांबवा, सहभागी सत्रे आणि ओळखींचा आढावा घ्या, आणि बदलणे न्याय्य आहे का हे घटनेच्या मालकाला ठरवू द्या। येथे पुरावा महत्त्वाचा आहे, कारण निरीक्षण केलेली निर्यात नसणे हे कोणतेही प्रमाणीकरण गैरवापरले गेले नाही हे सिद्ध करत नाही, आणि केवळ मार्ग बदलणे ही चोरलेल्या कीची निदान नाही। कोणता घटक विश्वासार्ह होता, फॉरवर्डिंग सक्षम होते का आणि प्रत्यक्षात काय निरीक्षण केले गेले ते लिहा। मग त्या नोंदीशी जुळणारा प्रतिसाद निवडा, उपलब्ध सर्वात नाट्यमय नाही।

ssh-add -l
ssh -G host.example | grep -i forwardagent

बदलापूर्वी आणि नंतर ते चालवा, जेणेकरून तुलनेला अर्थ असेल। आधी स्थापन झालेले सत्र आपल्याला दिलेला प्रतिनिधिलेख टिकवते, आता सेटिंग्ज काहीही सांगोत।

दोन नियंत्रणे जी अदलाबदल करण्यायोग्य नाहीत

खाजगी सामग्रीचे संरक्षण, तिच्यावर सही कोण मागू शकतो हे मर्यादित करणे, आणि समोरच्या बाजूची ओळख पडताळणे ही तीन संबंधित नियंत्रणे आहेत, आणि कोणतेही दुसऱ्याची जागा घेत नाही। यजमान की तपासल्याशिवाय फॉरवर्डिंग काढणाऱ्या संघाने अर्धी समस्या दुरुस्त केली आहे। मार्ग बदलल्यामुळे की फिरवणाऱ्या संघाने काहीही दुरुस्त केले नाही।

धोक्यात आलेला अंतिम बिंदू चौथा प्रश्न आहे, कारण तुमच्या स्वतःच्या मशीनवरील विशेषाधिकारित सॉफ्टवेअर पॅकेट निरीक्षण करण्यापेक्षा खूप जास्त करू शकते।

काहीही स्पर्श करण्यापूर्वी घटनेची त्या श्रेणींत विभागणी करा, आणि प्रत्येकाला एक मालक द्या। कशावर विश्वास ठेवला, काय प्रतिनिधिलेख केले आणि काय पडताळले याची थोडक्यात नोंद ठेवा, कारण तीच नोंद पुढील आढावा दुसऱ्या वादाऐवजी स्वस्त करते। कोणतीही श्रेणी अज्ञात असल्यास सौम्य प्रकरण गृहीत धरण्याऐवजी अज्ञात लिहा। फरक व्यावहारिक आहे, शैक्षणिक नाही: तुम्ही ओळखपत्र बदलता, सत्र रद्द करता, की फक्त फॉरवर्डिंग थांबवता हे तो ठरवतो।