Trażmissjoni tal-aġent SSH kontra kopja ta' ċavetta: x'inhu li jnixxi tassew

Żewġ avvenimenti differenti jissejħu ċavetta SSH li nixxiet, u jeħtieġu reazzjonijiet differenti. L-awtentikazzjoni b'ċavetta pubblika tibgħat ċavetta pubblika u firma magħmula miċ-ċavetta privata, għalhekk iċ-ċavetta privata qatt mhi qasam fit-talba. It-trażmissjoni tal-aġent tiskopri xi ħaġa oħra, għax host remot li jasal għall-aġent trażmess tiegħek jista' jitolbu jiffirma mingħajr ma qatt iżomm iċ-ċavetta. Jekk dawn it-tnejn jiġu trattati bħala avveniment wieħed, tirriżulta jew tibdil ta' ċavetta bla skop jew delegazzjoni li tibqa' għaddejja.

Id-dħul b'ċavetta pubblika jgħaddi firma, mhux iċ-ċavetta

L-iskambju tal-awtentikazzjoni jġorr iċ-ċavetta pubblika tal-utent u firma fuq id-data tas-sessjoni. Is-server jivverifika dik il-firma maċ-ċavetta li diġà jafda, għalhekk in-nofs privat jista' jibqa' fuq il-klijent anke fuq netwerk mhux affidabbli. Operatur tal-VPN li jara t-tunnel xorta jara sessjoni SSH kriptata.

Dan jiddeskrivi l-protokoll, mhux l-affidabbiltà ta' kull tarf fit-triq. Żomm il-verifika tal-identità tal-host sħiħa, għax klijent li jaċċetta kwalunkwe ċavetta tal-host ikun telaq minn kontroll differenti minn dak diskuss hawn. Sessjoni maqbuda u ċavetta maqbuda huma sejbiet separati, u waħda biss minnhom hija telf ta' kredenzjali. Żomm it-tnejn f'sentenzi separati fir-rapport.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

L-ewwel kmand jistampa l-impronta pubblika sabiex tqabbilha ma' dik li jelenka s-server. It-tieni jagħmel il-verifika taċ-ċavetta tal-host espliċita minflok ma jiddependi fuq valur awtomatiku li ħadd ma qara. Mexxi t-tnejn qabel ma tbiddel xi ħaġa fiċ-ċwievet, sabiex il-linja bażi tkun dokumentata.

It-trażmissjoni ta' aġent tiddelega l-ħila li tiffirma

Meta t-trażmissjoni tkun attiva, tidher socket fuq il-host remot u l-aġent lokali jwieġeb it-talbiet li jiġu minnha. Kull min jista' juża dik is-socket matul is-sessjoni jista' jawtentika bħalek quddiem hosts li jaċċettaw l-identitajiet mgħobbija. L-ebda ċavetta privata ma taqsam in-netwerk biex dan jaħdem.

L-iskopertura hi l-ħila, mhux il-fajl. Għalhekk it-trażmissjoni tappartjeni għal kompitu msemmi u host imsemmi, mhux għal kull konnessjoni li tagħmel laptop. Host tal-qabża li jgħaddi l-konnessjoni mingħajr aġent trażmess normalment ineħħi l-ħtieġa għal kollox.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

L-ewwel jelenka liema identitajiet għandu l-aġent bħalissa, xi ħaġa li tajjeb tkun taf qabel ma tagħti s-socket tiegħu lil magna oħra. It-tieni jikkonnettja mingħajr delegazzjoni. It-tielet juri l-mudell tal-host tal-qabża li spiss jissostitwixxi t-trażmissjoni għal kollox.

Agħżel ir-reazzjoni skont l-evidenza li għandek

Identità tal-firma li hija maħsuba skoperta teħtieġ il-proċess ta' sostituzzjoni u revoka, u t-tneħħija tal-aċċettazzjoni tagħha mis-servizzi li kienu jafdawha. It-tħassir tal-kopja fuq il-laptop iħalli kull kopja oħra mhux mitmuda. Ibda mis-servizzi, imbagħad naddaf il-klijenti.

Problema temporanja ta' delegazzjoni hija iżjed dejqa. Waqqaf it-trażmissjoni li ma kinitx meħtieġa, u rrevedi mas-sid tal-inċident liema sessjonijiet u identitajiet kopriet. Sostituzzjoni taċ-ċavetta tista' ssegwi, imma l-evidenza tiddeċiedi dan, mhux l-inkwiet.

L-ebda esportazzjoni osservata ma tipprova ħlief li l-mekkaniżmu li kont tibża' minnu ma deherx. Ma tgħid xejn dwar x'aktar seta' għamel host fit-tarf l-ieħor ta' dik is-socket.

Żomm il-kontrolli separati fir-rapport

Ipproteġi l-materjal privat, illimita min jista' jitolbu firma, żomm l-identità tal-parti l-oħra verifikata. Dawn huma tliet kontrolli li jsaħħu lil xulxin, u l-ebda waħda minnhom ma tissostitwixxi oħra meta tispjega x'ġara.

Laptop kompromess jew applikazzjoni b'privileġġ fuqu huwa t-tielet każ b'firxa ta' impatt ferm aktar wiesgħa. Il-bidla tar-rotta tal-VPN ma ssolvihx u ma terġax tagħti fiduċja f'ċavetta li setgħet inqrat mid-diska.

Ikteb liema komponent kien afdat, jekk it-trażmissjoni kinitx attiva u x'inġabar tassew. Dak ir-rekord huwa li jagħmel id-deċiżjoni li jmiss difendibbli minflok raden dwar xi jfisser tnixxija.