Ċavetta SSH ikkupjata jew aġent mgħoddi 'l quddiem? Żewġ riskji differenti

Dħul li juża ċavetta SSH permezz ta' VPN ma jfissirx li ċ-ċavetta privata ngħatat lill-operatur tan-netwerk, u dak it-trankwillament huwa eqreb milli jisimgħu n-nies. L-awtentikazzjoni b'ċavetta pubblika tibgħat ċavetta pubblika u firma li l-klijent jipproduċi lokalment. Il-passa 'l quddiem tal-aġent hija arranġament differenti b'espożizzjoni differenti, u tista' tħalli kapaċità ta' awtentikazzjoni użabbli fuq magna li ma tikkontrollax. It-tweġiba li għandek tiddependi minn liema miż-żewġ affarijiet seħħet tassew.

X'tibgħat l-awtentikazzjoni b'ċavetta pubblika

Fil-metodu standard taċ-ċavetta pubblika l-klijent joffri ċavetta pubblika, is-server jiddeċiedi jekk jaċċettax dik iċ-ċavetta, u l-klijent jiffirma sfida biċ-ċavetta privata, li tibqa' fil-fajl tiegħu jew fl-aġent tiegħu. Dak li jaqsam in-netwerk hija ċ-ċavetta pubblika u l-firma li tirriżulta. Xejn f'dak l-iskambju ma jitlob li s-server, il-mina jew xi ħadd fit-triq iżomm il-materjal privat.

L-ispeċifikazzjoni tal-awtentikazzjoni tiddefinixxi dik il-prova, u ċ-ċavetta privata mhix qasam fit-talba.

Din hija dikjarazzjoni dwar protokoll, mhix referenza ta' karattru għal kull punt tat-tmiem involut. Il-verifika tal-identità tal-host xorta trid tibqa' sħiħa, għax server li ma jistax jipprova min hu jista' jkun qed jiġbor firem għal skop li ma kellix f'moħħok. VM mikrija, bastion wirt u laptop li jħaddem estensjoni mhux magħrufa huma tliet mistoqsijiet ta' fiduċja separati. Żommhom separati minn dak kriptografiku, li huwa tassew solvut.

X'jiddelega l-passa 'l quddiem tal-aġent

Il-passa 'l quddiem tal-aġent jiftaħ kanal mill-host imbiegħed lura lejn l-aġent fuq il-magna tiegħek, sabiex proċessi fuq dak il-host jistgħu jitolbu lill-aġent biex jiffirma mingħajr qatt ma jżommu ċ-ċavetta privata. Iċ-ċavetta tibqa' fejn hi, u l-kapaċità le. Kull ħaġa li tista' tilħaq dak is-soket mgħoddi 'l quddiem fuq il-host imbiegħed, għal ħajjet is-sessjoni, tista' titlob operazzjonijiet ta' awtentikazzjoni bħala waħda mill-identitajiet mgħobbija. Din hija awtorità delegata, u għalhekk il-passa 'l quddiem jistħoqqlu politika eqreb minn tgħaddi ċavetta pubblika.

Fajl taċ-ċavetta kkupjat huwa żvelar. Aġent mgħoddi 'l quddiem huwa permess, u t-tnejn jeħtieġu tweġibiet differenti.

Ippermetti l-passa 'l quddiem għal bżonn imsemmi u hosts imsemmija, u vverifika x'jagħmel il-klijent tassew minflok dak li l-konfigurazzjoni tidher tgħid. Is-settings effettivi huma li jgħoddu, għax blokka tal-host taqbeż bil-kwiet il-valur globali awtomatiku. L-istess raġunament japplika fuq in-naħa tas-server, li jista' jirrifjuta l-passa 'l quddiem għal kollox meta l-iskjerament qatt ma jkollu bżonnu.

Aqra l-evidenza qabel tagħżel tweġiba

Jekk jitqies li fajl taċ-ċavetta privata jew identità ta' firma ekwivalenti ġie espost, it-tweġiba hija sostituzzjoni u revoka permezz tal-proċess tal-organizzazzjoni tiegħek, flimkien mat-tneħħija tal-aċċettazzjoni tiegħu minn kull servizz li fdah. It-tħassir ta' kopja lokali waħda ma jinvalidax il-kopji li ma tarax.

Jekk il-ħsieb huwa aċċess temporanju tal-aġent, it-tweġiba hija eqreb: waqqaf id-delega mhux meħtieġa, aġġorna s-sessjonijiet u l-identitajiet involuti, u ħalli lill-proprjetarju tal-inċident jiddeċiedi jekk is-sostituzzjoni hijiex ġustifikata. L-evidenza tgħodd hawn, għax l-assenza ta' esportazzjoni osservata ma tipprovax li l-ebda awtentikazzjoni ma ntużat ħażin, u bidla fil-mogħdija waħedha mhix dijanjosi ta' ċavetta misruqa. Ikteb liema komponent kien fiduċjuż, jekk il-passa 'l quddiem kienx attiv u x'ġie osservat tassew. Imbagħad agħżel it-tweġiba li taqbel ma' dak ir-rekord minflok l-aktar drammatika disponibbli.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Ħaddimhom qabel u wara bidla sabiex il-paragun ifisser xi ħaġa. Sessjoni stabbilita qabel iżżomm id-delega li ngħatatilha, x'jogħġobhom jgħidu s-settings issa.

Żewġ kontrolli li mhumiex skambjabbli

Jipproteġi l-materjal privat, jillimita min jista' jitlob il-firma tiegħu, u jivverifika l-identità tal-parti l-oħra huma tliet kontrolli relatati, u ħadd ma jissostitwixxi l-ieħor. Tim li jneħħi l-passa 'l quddiem mingħajr ma jivverifika ċ-ċwievet tal-hosts ikun sewwa nofs problema. Tim li ddawwar ċavetta għax il-mogħdija nbidlet ma jsewwix xejn.

Punt tat-tmiem kompromess huwa r-raba' mistoqsija, għax software ipprivileġġat fuq il-magna tiegħek stess jista' jagħmel ħafna aktar milli josserva pakketti.

Issortja l-inċident f'dawk il-kategoriji qabel ma tmiss xejn, u agħti lil kull waħda proprjetarju. Żomm rekord qasir ta' x'kien fiduċjuż, x'ġie delegat u x'ġie vverifikat, għax dak ir-rekord huwa li jagħmel il-verifika li jmiss rħisa minflok dibattitu ieħor. Jekk xi kategorija mhix magħrufa, ikteb mhux magħrufa minflok tassumi l-każ beninn. Id-differenza hija prattika, mhux akkademika: tiddeċiedi jekk tissostitwixxix kredenzjali, tirrevokax sessjoni, jew sempliċement tieqafx il-passa 'l quddiem.