Kunci SSH disalin atau ejen diteruskan? Dua risiko berbeza

Log masuk yang menggunakan kunci SSH melalui VPN tidak bermaksud kunci persendirian telah diserahkan kepada pengendali rangkaian, dan jaminan itu lebih sempit daripada yang didengar orang. Pengesahan kunci awam menghantar kunci awam dan tandatangan yang dihasilkan klien secara setempat. Penerusan ejen ialah susunan berbeza dengan pendedahan berbeza, dan ia boleh meninggalkan keupayaan pengesahan yang boleh digunakan pada mesin yang anda tidak kawal. Tindak balas yang anda hutangi bergantung pada yang mana satu benar-benar berlaku.

Apa yang dihantar oleh pengesahan kunci awam

Dalam kaedah kunci awam standard klien menawarkan kunci awam, pelayan memutuskan sama ada menerima kunci itu, dan klien menandatangani cabaran dengan kunci persendirian, yang kekal dalam failnya atau ejennya. Yang melintasi rangkaian ialah kunci awam dan tandatangan yang terhasil. Tiada apa dalam pertukaran itu memerlukan pelayan, terowong atau sesiapa di laluan memegang bahan persendirian.

Spesifikasi pengesahan mentakrifkan bukti itu, dan kunci persendirian bukan medan dalam permintaan.

Itu kenyataan tentang protokol, bukan rujukan perwatakan untuk setiap titik akhir yang terlibat. Pemeriksaan identiti hos masih mesti utuh, kerana pelayan yang tidak dapat membuktikan siapa dirinya mungkin mengumpul tandatangan untuk tujuan yang anda tidak niatkan. VM sewaan, bastion warisan dan komputer riba yang menjalankan sambungan asing ialah tiga soalan kepercayaan berasingan. Jauhkan mereka daripada yang kriptografi, yang benar-benar telah diselesaikan.

Apa yang diwakilkan oleh penerusan ejen

Penerusan ejen membuka saluran daripada hos jauh kembali ke ejen pada mesin anda, supaya proses pada hos itu boleh meminta ejen menandatangani tanpa pernah memegang kunci persendirian. Kunci kekal di tempatnya, dan keupayaan tidak. Apa sahaja yang dapat mencapai soket yang diteruskan itu pada hos jauh, sepanjang hayat sesi, boleh meminta operasi pengesahan sebagai salah satu identiti yang dimuatkan. Itu kuasa yang diwakilkan, sebab itu penerusan wajar mendapat dasar yang lebih sempit daripada menyerahkan kunci awam.

Fail kunci yang disalin ialah pendedahan. Ejen yang diteruskan ialah kebenaran, dan kedua-duanya memerlukan jawapan berbeza.

Aktifkan penerusan untuk keperluan bernama dan hos bernama, dan periksa apa yang klien benar-benar lakukan bukan apa yang konfigurasi kelihatan katakan. Tetapan berkesan yang penting, kerana blok hos senyap menimpa nilai lalai global. Hujah yang sama terpakai di sebelah pelayan, yang boleh menolak penerusan sepenuhnya apabila penggunaan tidak pernah memerlukannya.

Baca bukti sebelum memilih tindak balas

Jika dipercayai fail kunci persendirian atau identiti tandatangan setara telah terdedah, tindak balasnya ialah penggantian dan pembatalan melalui proses organisasi anda, serta penyingkiran penerimaannya daripada setiap perkhidmatan yang mempercayainya. Memadam satu salinan setempat tidak membatalkan salinan yang anda tidak nampak.

Jika kebimbangan ialah akses ejen sementara, tindak balasnya lebih sempit: hentikan perwakilan yang tidak perlu, semak sesi dan identiti yang terlibat, dan biarkan pemilik insiden memutuskan sama ada penggantian wajar. Bukti penting di sini, kerana tiada eksport yang diperhatikan tidak membuktikan tiada pengesahan disalahgunakan, dan perubahan laluan sahaja bukan diagnosis kunci yang dicuri. Catat komponen mana yang dipercayai, sama ada penerusan diaktifkan, dan apa yang benar-benar diperhatikan. Kemudian pilih tindak balas yang sesuai dengan rekod itu dan bukan yang paling dramatik yang tersedia.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Jalankan kedua-duanya sebelum dan selepas perubahan supaya perbandingan bermakna. Sesi yang ditubuhkan lebih awal mengekalkan perwakilan yang diberikan kepadanya, apa pun yang tetapan katakan sekarang.

Dua kawalan yang tidak boleh ditukar ganti

Melindungi bahan persendirian, mengehadkan siapa yang boleh meminta tandatangannya, dan mengesahkan identiti pihak lain ialah tiga kawalan berkaitan, dan tiada satu menggantikan yang lain. Pasukan yang membuang penerusan tanpa memeriksa kunci hos telah membaiki separuh masalah. Pasukan yang memutar kunci kerana laluan berubah tidak membaiki apa-apa.

Titik akhir yang terjejas ialah soalan keempat, kerana perisian istimewa pada mesin anda sendiri boleh melakukan jauh lebih banyak daripada memerhati paket.

Susun insiden ke dalam kategori itu sebelum menyentuh apa-apa, dan beri setiap satu pemilik. Simpan rekod pendek tentang apa yang dipercayai, apa yang diwakilkan dan apa yang disahkan, kerana rekod itulah yang menjadikan semakan seterusnya murah dan bukannya satu lagi perdebatan. Jika mana-mana kategori tidak diketahui, tulis tidak diketahui dan bukan menganggap kes jinak. Perbezaannya praktikal, bukan akademik: ia menentukan sama ada anda menggantikan kelayakan, membatalkan sesi, atau sekadar berhenti meneruskan.