SSH एजेन्ट फर्वार्डिङ बनाम कुञ्जी प्रतिलिपि: वास्तवमा के चुहिन्छ

दुई फरक घटनालाई चुहिएको SSH कुञ्जी भनिन्छ, र तिनका लागि फरक प्रतिक्रिया चाहिन्छ। सार्वजनिक कुञ्जी प्रमाणीकरणले सार्वजनिक कुञ्जी र निजी कुञ्जीले बनाइएको हस्ताक्षर पठाउँछ, त्यसैले निजी कुञ्जी कहिल्यै अनुरोधको फाँट हुँदैन। एजेन्ट फर्वार्डिङले अरू केही उजागर गर्छ, किनकि तपाईंको फर्वार्ड गरिएको एजेन्टसम्म पुग्ने टाढाको होस्टले कुञ्जी कहिल्यै नराखी त्यसलाई हस्ताक्षर गर्न भन्न सक्छ। यी दुवैलाई एउटै घटना मान्दा या त व्यर्थ कुञ्जी परिवर्तन हुन्छ या चलिरहने प्रत्यायोजन।

सार्वजनिक कुञ्जी लगइनले कुञ्जी होइन, हस्ताक्षर पठाउँछ

प्रमाणीकरणको आदानप्रदानले प्रयोगकर्ताको सार्वजनिक कुञ्जी र सत्र डेटामाथिको हस्ताक्षर बोक्छ। सर्भरले त्यो हस्ताक्षर आफूले पहिले नै विश्वास गर्ने कुञ्जीले जाँच्छ, त्यसैले निजी आधा भाग अविश्वसनीय सञ्जाल हुँदै पनि क्लाइन्टमै रहन सक्छ। सुरुङ हेर्ने VPN अपरेटरले जुनसुकै हालतमा इन्क्रिप्ट भएको SSH सत्र देख्छ।

त्यो प्रोटोकलको वर्णन हो, बाटोका हरेक अन्त्य बिन्दुको विश्वसनीयता होइन। होस्ट-पहिचान प्रमाणीकरण अक्षुण्ण राख्नुहोस्, किनकि कुनै पनि होस्ट कुञ्जी स्वीकार्ने क्लाइन्टले यहाँ छलफल भइरहेकोभन्दा फरक नियन्त्रण छोडेको हुन्छ। समातिएको सत्र र समातिएको कुञ्जी छुट्टै निष्कर्ष हुन्, र तीमध्ये एउटा मात्र प्रमाणहरूको हानि हो। दुवैलाई प्रतिवेदनमा छुट्टै वाक्यमा राख्नुहोस्।

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

पहिलो आदेशले सार्वजनिक औंठाछाप छाप्छ ताकि तपाईंले सर्भरले सूचीबद्ध गरेकोसँग तुलना गर्न सक्नुहुन्छ। दोस्रोले कसैले नपढेको पूर्वनिर्धारित मानमा भर पर्नुको सट्टा होस्ट-कुञ्जी जाँचलाई स्पष्ट बनाउँछ। कुञ्जीबारे केही बदल्नु अघि दुवै चलाउनुहोस्, ताकि आधाररेखा अभिलेख हुनेछ।

एजेन्ट फर्वार्डिङले हस्ताक्षर गर्ने क्षमता प्रत्यायोजन गर्छ

फर्वार्डिङ सक्रिय हुँदा टाढाको होस्टमा सकेट देखा पर्छ र स्थानीय एजेन्टले त्यसबाट आउने अनुरोधको जवाफ दिन्छ। सत्रका बेला त्यो सकेट प्रयोग गर्न सक्ने जो कोहीले लोड गरिएका पहिचान स्वीकार्ने होस्टसामु तपाईंको रूपमा प्रमाणित हुन सक्छ। त्यो काम गर्नका लागि कुनै निजी कुञ्जी सञ्जाल पार गर्दैन।

उजागर हुने क्षमता हो, फाइल होइन। त्यसैले फर्वार्डिङ ल्यापटपले गर्ने हरेक जडानको होइन, नाम दिइएको काम र नाम दिइएको होस्टको हुन्छ। फर्वार्ड गरिएको एजेन्टबिना जडान अगाडि पठाउने जम्प होस्टले सामान्यतया आवश्यकता नै पूरै हटाउँछ।

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

पहिलोले एजेन्टसँग अहिले कुन पहिचान छन् भनी सूचीबद्ध गर्छ, जुन त्यसको सकेट अर्को मेसिनलाई दिनु अघि जान्न लायक हुन्छ। दोस्रोले प्रत्यायोजनबिना जोडिन्छ। तेस्रोले फर्वार्डिङलाई प्रायः पूर्ण रूपमा प्रतिस्थापन गर्ने जम्प-होस्ट ढाँचा देखाउँछ।

तपाईंसँग भएको प्रमाणबाट प्रतिक्रिया छान्नुहोस्

उजागर मानिएको हस्ताक्षर-पहिचानका लागि प्रतिस्थापन र रद्द गर्ने प्रक्रिया चाहिन्छ, र त्यसमा विश्वास गर्ने सेवाहरूबाट त्यसको स्वीकृति हटाउनु पर्छ। आफ्नो ल्यापटपमा रहेको प्रतिलिपि मेट्दा अरू सबै प्रतिलिपि अछुतै रहन्छ। सेवाबाट सुरु गर्नुहोस्, त्यसपछि क्लाइन्ट सफा गर्नुहोस्।

अस्थायी प्रत्यायोजन समस्या अझ साँघुरो हुन्छ। आवश्यक नभएको फर्वार्डिङ अन्त्य गर्नुहोस्, र घटनाको मालिकसँग त्यसले कुन सत्र र पहिचान समेट्यो भनी समीक्षा गर्नुहोस्। कुञ्जी प्रतिस्थापन पछि आउन सक्छ, तर त्यो प्रमाणले निर्धारण गर्छ, चिन्ताले होइन।

कुनै पनि देखिएको निर्यात नहुनु भनेको तपाईं डराएको संयन्त्र देखा परेन भन्ने मात्र प्रमाण हो। त्यस सकेटको अर्को छेउको होस्टले अरू के गर्न सक्थ्यो भन्नेबारे यसले केही भन्दैन।

प्रतिवेदनमा नियन्त्रणहरू छुट्टाछुट्टै राख्नुहोस्

निजी सामग्रीको रक्षा गर्नुहोस्, कसले त्यसबाट हस्ताक्षर माग्न सक्छ सीमित गर्नुहोस्, अर्को पक्षको पहिचान प्रमाणित राख्नुहोस्। यी परस्पर बलियो बनाउने तीन नियन्त्रण हुन्, र के भयो भनी व्याख्या गर्दा यीमध्ये कुनैले अर्कोको ठाउँ लिँदैन।

सम्झौता भएको ल्यापटप वा त्यसमाथिको विशेषाधिकार प्राप्त अनुप्रयोग धेरै फराकिलो प्रभावक्षेत्र भएको तेस्रो केस हो। VPN मार्ग बदल्दा त्यो समाधान हुँदैन र डिस्कबाट पढिएको हुन सक्ने कुञ्जीमाथिको विश्वास पनि फर्कंदैन।

कुन घटकमाथि विश्वास गरिएको थियो, फर्वार्डिङ सक्रिय थियो कि थिएन, र वास्तवमा के देखियो लेख्नुहोस्। त्यही अभिलेखले अर्को निर्णयलाई चुहावटको अर्थबारे अनुमानको सट्टा रक्षात्मक बनाउँछ।