SSH कुञ्जी प्रतिलिपि भयो कि एजेन्ट फर्वार्ड? दुई फरक जोखिम

VPN मार्फत SSH कुञ्जी प्रयोग गर्ने लगइनको अर्थ निजी कुञ्जी सञ्जाल अपरेटरलाई दिइयो भन्ने होइन, र यो आश्वासन मानिसहरूले सुन्नेभन्दा साँघुरो छ। सार्वजनिक-कुञ्जी प्रमाणीकरणले सार्वजनिक कुञ्जी र क्लाइन्टले स्थानीय रूपमा बनाउने हस्ताक्षर पठाउँछ। एजेन्ट फर्वार्डिङ फरक एक्सपोजर भएको फरक व्यवस्था हो, र यसले तपाईंले नियन्त्रण नगर्ने मेसिनमा प्रयोगयोग्य प्रमाणीकरण क्षमता छोड्न सक्छ। तपाईंले दिनुपर्ने प्रतिक्रिया यी दुईमध्ये वास्तवमा के भयो भन्नेमा निर्भर छ।

सार्वजनिक-कुञ्जी प्रमाणीकरण के पठाउँछ

मानक सार्वजनिक-कुञ्जी विधिमा क्लाइन्टले सार्वजनिक कुञ्जी प्रस्तुत गर्छ, सर्भरले त्यो कुञ्जी स्वीकार्ने वा नगर्ने निर्णय गर्छ, र क्लाइन्टले आफ्नो फाइल वा एजेन्टमा रहने निजी कुञ्जीले चुनौतीमा हस्ताक्षर गर्छ। सञ्जाल पार गर्ने कुरा सार्वजनिक कुञ्जी र त्यसबाट बन्ने हस्ताक्षर हो। त्यो आदानप्रदानमा केही पनि सर्भर, टनेल वा बाटोमा कोहीले निजी सामग्री राख्नुपर्ने माग गर्दैन।

प्रमाणीकरण विनिर्देशले त्यो प्रमाण परिभाषित गर्छ, र निजी कुञ्जी अनुरोधमा क्षेत्र होइन।

यो प्रोटोकलको बारेमा भनाइ हो, संलग्न प्रत्येक अन्तिम बिन्दुका लागि चरित्र-प्रमाणपत्र होइन। होस्ट पहिचान जाँच अझै अक्षुण्ण रहनुपर्छ, किनकि आफूलाई प्रमाणित गर्न नसक्ने सर्भरले तपाईंले नचाहेको उद्देश्यका लागि हस्ताक्षर जम्मा गर्दै हुन सक्छ। भाडाको VM, वंशानुगत बास्टियन र अपरिचित एक्सटेन्सन चलाउने ल्यापटप तीन फरक विश्वास-प्रश्न हुन्। तिनीहरूलाई साँच्चै टुंगिएको क्रिप्टोग्राफिक प्रश्नबाट अलग राख्नुहोस्।

एजेन्ट फर्वार्डिङ के प्रत्यायोजन गर्छ

एजेन्ट फर्वार्डिङले टाढाको होस्टबाट तपाईंको मेसिनको एजेन्टसम्म च्यानल खोल्छ, ताकि त्यो होस्टका प्रक्रियाहरूले निजी कुञ्जी कहिल्यै नराखी एजेन्टलाई हस्ताक्षर गर्न भन्न सकून्। कुञ्जी जहाँ छ त्यहीं रहन्छ, र क्षमता रहँदैन। टाढाको होस्टमा त्यो फर्वार्ड गरिएको सकेटसम्म पुग्न सक्ने जुनसुकै कुरा, सत्रको जीवनकालभर, लोड गरिएका पहिचानमध्ये एकको रूपमा प्रमाणीकरण कार्यहरू अनुरोध गर्न सक्छ। यो प्रत्यायोजित अधिकार हो, त्यसैले फर्वार्डिङ सार्वजनिक कुञ्जी सुम्पनेभन्दा साँघुरो नीतिको योग्य छ।

प्रतिलिपि गरिएको कुञ्जी फाइल खुलासा हो। फर्वार्ड गरिएको एजेन्ट अनुमति हो, र दुवैलाई फरक उत्तर चाहिन्छ।

नामित आवश्यकता र नामित होस्टका लागि फर्वार्डिङ सक्षम गर्नुहोस्, र कन्फिगरेसनले भन्छ जस्तो देखिनेभन्दा क्लाइन्टले वास्तवमा के गर्छ जाँच्नुहोस्। प्रभावकारी सेटिङ नै महत्त्वपूर्ण हुन्, किनकि होस्ट ब्लकले विश्वव्यापी पूर्वनिर्धारितलाई चुपचाप अधिक्रमण गर्छ। त्यही तर्क सर्भर पक्षमा पनि लागू हुन्छ, जसले तैनाथीलाई कहिल्यै आवश्यक नभए फर्वार्डिङ पूर्ण रूपमा अस्वीकार गर्न सक्छ।

उत्तर छान्नुअघि प्रमाण पढ्नुहोस्

यदि निजी कुञ्जी फाइल वा समकक्ष हस्ताक्षर पहिचान खुलासा भयो भन्ने विश्वास गरिन्छ भने, प्रतिक्रिया तपाईंको संस्थाको प्रक्रियामार्फत प्रतिस्थापन र रद्द हो, साथै त्यसमा विश्वास गर्ने प्रत्येक सेवाबाट त्यसको स्वीकृति हटाउनु। एउटा स्थानीय प्रतिलिपि मेटाउँदा तपाईंले नदेख्ने प्रतिलिपिहरू अवैध हुँदैनन्।

यदि चिन्ता अस्थायी एजेन्ट पहुँचको हो भने, प्रतिक्रिया अझ साँघुरो छ: अनावश्यक प्रत्यायोजन रोक्नुहोस्, संलग्न सत्र र पहिचानको समीक्षा गर्नुहोस्, र प्रतिस्थापन न्यायोचित छ कि छैन घटनाको मालिकलाई निर्णय गर्न दिनुहोस्। यहाँ प्रमाण महत्त्वपूर्ण छ, किनकि कुनै अवलोकित निर्यात नहुनुले कुनै प्रमाणीकरण दुरुपयोग भएन भनी प्रमाणित गर्दैन, र केवल मार्ग परिवर्तन चोरिएको कुञ्जीको निदान होइन। कुन घटक विश्वासयोग्य थियो, फर्वार्डिङ सक्षम थियो कि थिएन, र वास्तवमा के अवलोकन गरियो लेख्नुहोस्। त्यसपछि त्यो अभिलेखसँग मिल्ने प्रतिक्रिया छान्नुहोस्, उपलब्ध सबैभन्दा नाटकीय होइन।

ssh-add -l
ssh -G host.example | grep -i forwardagent

परिवर्तनअघि र पछि तिनीहरू चलाउनुहोस्, तुलनाको अर्थ होस्। पहिले स्थापित सत्रले आफूलाई दिइएको प्रत्यायोजन कायम राख्छ, अहिले सेटिङले के भने पनि।

अदलबदल गर्न नसकिने दुई नियन्त्रण

निजी सामग्रीको संरक्षण, त्यसको हस्ताक्षर को माग्न सक्छ भन्ने सीमित गर्नु, र अर्को पक्षको पहिचान प्रमाणित गर्नु तीन सम्बन्धित नियन्त्रण हुन्, र कुनैले अर्कोको ठाउँ लिँदैन। होस्ट कुञ्जी नजाँची फर्वार्डिङ हटाउने टोलीले आधा समस्या सुधारेको छ। मार्ग बदलिएकाले कुञ्जी घुमाउने टोलीले केही सुधारेको छैन।

भंग भएको अन्तिम बिन्दु चौथो प्रश्न हो, किनकि तपाईंको आफ्नै मेसिनको विशेषाधिकार प्राप्त सफ्टवेयरले प्याकेट अवलोकन गर्नुभन्दा धेरै बढी गर्न सक्छ।

केही छुनुअघि घटनालाई ती कोटीमा वर्गीकरण गर्नुहोस्, र प्रत्येकलाई एक मालिक दिनुहोस्। केमा विश्वास गरियो, के प्रत्यायोजित भयो र के प्रमाणित भयो भन्ने छोटो अभिलेख राख्नुहोस्, किनकि त्यही अभिलेखले अर्को समीक्षालाई अर्को बहसको सट्टा सस्तो बनाउँछ। कुनै कोटी अज्ञात भएमा सौम्य केस मान्नुको सट्टा अज्ञात लेख्नुहोस्। भिन्नता व्यावहारिक हो, शैक्षिक होइन: तपाईं प्रमाणपत्र प्रतिस्थापन गर्नुहुन्छ, सत्र रद्द गर्नुहुन्छ, वा फर्वार्डिङ मात्र रोक्नुहुन्छ भन्ने यसले निर्धारण गर्छ।