Redirecționarea agentului SSH versus copierea unei chei: ce se scurge de fapt

Două evenimente diferite sunt numite o cheie SSH scursă, și cer răspunsuri diferite. Autentificarea cu cheie publică trimite o cheie publică și o semnătură făcută cu cheia privată, așa că cheia privată nu este niciodată un câmp al cererii. Redirecționarea agentului expune altceva, pentru că o gazdă la distanță care ajunge la agentul redirecționat poate cere acestuia să semneze fără să dețină vreodată cheia. Tratarea ambelor ca un singur eveniment duce fie la o rotație inutilă, fie la o delegare care rămâne activă.

Autentificarea cu cheie publică transmite o semnătură, nu cheia

Schimbul de autentificare poartă cheia publică a utilizatorului și o semnătură asupra datelor sesiunii. Serverul verifică semnătura cu cheia în care are deja încredere, de aceea jumătatea privată poate rămâne pe client printr-o rețea nesigură. Un operator VPN care urmărește tunelul vede oricum o sesiune SSH criptată.

Aceasta descrie protocolul, nu fiabilitatea fiecărui punct final de pe traseu. Păstrați intactă verificarea identității gazdei, pentru că un client care acceptă orice cheie de gazdă a renunțat la un alt control decât cel discutat. O sesiune capturată și o cheie capturată sunt constatări separate, și doar una dintre ele este pierderea de acreditări. Țineți ambele în propoziții separate ale raportului.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Prima comandă afișează amprenta publică pentru a o compara cu cea listată de server. A doua face explicită verificarea cheii gazdei în loc să se bazeze pe o valoare implicită pe care nimeni nu a citit-o. Rulați ambele înainte de a schimba ceva la chei, ca linia de bază să fie documentată.

Redirecționarea unui agent deleagă capacitatea de a semna

Când redirecționarea este activă, apare un socket pe gazda la distanță și agentul local răspunde cererilor care vin prin el. Oricine poate folosi acel socket în timpul sesiunii se poate autentifica drept dumneavoastră la gazdele care acceptă identitățile încărcate. Nicio cheie privată nu traversează rețeaua pentru ca asta să funcționeze.

Expunerea este capacitatea, nu fișierul. De aceea redirecționarea aparține unei sarcini numite și unei gazde numite, nu fiecărei conexiuni pe care o face un laptop. O gazdă de salt care retransmite conexiunea fără un agent redirecționat elimină de obicei nevoia complet.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Prima enumeră ce identități are agentul acum, ceea ce merită știut înainte de a-i da socketul altei mașini. A doua se conectează fără delegare. A treia arată modelul gazdei de salt care înlocuiește adesea redirecționarea cu totul.

Alegeți răspunsul după dovezile pe care le aveți

O identitate de semnare despre care se crede că este expusă cere procesul de înlocuire și revocare, și retragerea acceptării ei din serviciile care se bazau pe ea. Ștergerea copiei de pe laptop lasă orice altă copie neatinsă. Începeți cu serviciile, apoi curățați clienții.

O problemă temporară de delegare este mai îngustă. Încheiați redirecționarea care nu era necesară și treceți în revistă cu proprietarul incidentului ce sesiuni și identități acoperea. Înlocuirea cheii poate urma, dar dovezile decid asta, nu îngrijorarea.

Absența unui export observat dovedește doar că mecanismul de care vă temeați nu a apărut. Nu spune nimic despre ce altceva ar fi putut face o gazdă la celălalt capăt al acelui socket.

Țineți controalele separate în raport

Protejați materialul privat, limitați cine poate cere o semnătură de la el, mențineți verificată identitatea celeilalte părți. Sunt trei controale care se întăresc reciproc, și niciunul nu îl înlocuiește pe celălalt când explicați ce s-a întâmplat.

Un laptop compromis sau o aplicație privilegiată pe el este un al treilea caz, cu o rază de impact mult mai mare. Schimbarea rutei VPN nu îl rezolvă și nu restabilește încrederea într-o cheie care poate a fost citită de pe disc.

Notați ce componentă era de încredere, dacă redirecționarea era activă și ce s-a observat de fapt. Acel registru este ceea ce face următoarea decizie justificabilă, în locul unei presupuneri despre ce înseamnă o scurgere.