Kópia SSH kľúča alebo presmerovaný agent? Dve rôzne riziká

Prihlásenie, ktoré používa SSH kľúč cez VPN, neznamená, že súkromný kľúč bol odovzdaný prevádzkovateľovi siete, a toto upokojenie je užšie, než ľudia počujú. Autentizácia verejným kľúčom posiela verejný kľúč a podpis, ktorý klient vytvára lokálne. Presmerovanie agenta je iné usporiadanie s inou expozíciou a môže zanechať použiteľnú schopnosť autentizácie na stroji, ktorý neovládate. Odpoveď, ktorú dlžíte, závisí od toho, čo z tých dvoch sa skutočne stalo.

Čo posiela autentizácia verejným kľúčom

V štandardnej metóde verejného kľúča klient ponúkne verejný kľúč, server rozhodne, či tento kľúč prijme, a klient podpíše výzvu súkromným kľúčom, ktorý zostáva v jeho súbore alebo v jeho agentovi. Sieťou prechádza verejný kľúč a výsledný podpis. Nič v tejto výmene nevyžaduje, aby server, tunel alebo ktokoľvek na ceste držal súkromný materiál.

Špecifikácia autentizácie definuje tento dôkaz a súkromný kľúč nie je pole v požiadavke.

To je tvrdenie o protokole, nie charakteristika každého zúčastneného koncového bodu. Overovanie identity hostiteľa stále musí byť neporušené, pretože server, ktorý nedokáže preukázať, kým je, môže zhromažďovať podpisy na účel, ktorý ste nezamýšľali. Prenajatý VM, zdedený bastion a notebook s neznámym rozšírením sú tri oddelené otázky dôvery. Držte ich oddelene od kryptografickej, ktorá je skutočne vyriešená.

Čo deleguje presmerovanie agenta

Presmerovanie agenta otvára kanál zo vzdialeného hostiteľa späť k agentovi na vašom stroji, takže procesy na tomto hostiteľovi môžu požiadať agenta o podpis bez toho, aby niekedy držali súkromný kľúč. Kľúč zostáva tam, kde je, a schopnosť nie. Čokoľvek, čo sa dokáže dostať k tomuto presmerovanému socketu na vzdialenom hostiteľovi, počas životnosti relácie, môže žiadať autentifikačné operácie ako jedna z načítaných identít. To je delegovaná právomoc, a preto si presmerovanie zaslúži užšiu politiku než odovzdanie verejného kľúča.

Skopírovaný súbor s kľúčom je prezradenie. Presmerovaný agent je povolenie a oba prípady potrebujú rôzne odpovede.

Zapnite presmerovanie pre pomenovanú potrebu a pomenovaných hostiteľov a skontrolujte, čo klient skutočne robí, namiesto toho, čo konfigurácia vyzerá, že hovorí. Rozhodujú efektívne nastavenia, pretože blok hostiteľa potichu prepisuje globálnu predvolenú hodnotu. Rovnaká logika platí na strane servera, ktorý môže presmerovanie úplne odmietnuť, keď ho nasadenie nikdy nepotrebuje.

Prečítajte si dôkazy, kým vyberiete odpoveď

Ak sa predpokladá, že súbor so súkromným kľúčom alebo ekvivalentná podpisová identita bola prezradená, odpoveďou je nahradenie a odvolanie prostredníctvom procesu vašej organizácie, plus odstránenie jeho prijatia z každej služby, ktorá mu dôverovala. Vymazanie jednej lokálnej kópie neznehodnotí kópie, ktoré nevidíte.

Ak je obavou dočasný prístup agenta, odpoveď je užšia: zastavte nepotrebné delegovanie, prejdite zúčastnené relácie a identity a nechajte vlastníka incidentu rozhodnúť, či je nahradenie opodstatnené. Záleží tu na dôkazoch, pretože žiadny pozorovaný export nedokazuje, že nedošlo k zneužitiu autentizácie, a samotná zmena cesty nie je diagnózou ukradnutého kľúča. Zapíšte, ktorému komponentu sa dôverovalo, či bolo presmerovanie zapnuté a čo sa skutočne pozorovalo. Potom vyberte odpoveď, ktorá zodpovedá tomuto záznamu, namiesto najdramatickejšej dostupnej.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Spustite ich pred zmenou a po nej, aby porovnanie niečo znamenalo. Relácia nadviazaná skôr si ponecháva delegovanie, ktoré jej bolo udelené, nech nastavenia teraz hovoria čokoľvek.

Dve kontroly, ktoré nie sú zameniteľné

Ochrana súkromného materiálu, obmedzenie toho, kto môže požiadať o jeho podpis, a overenie identity druhej strany sú tri súvisiace kontroly a žiadna nenahrádza inú. Tím, ktorý odstráni presmerovanie bez kontroly kľúčov hostiteľov, opravil polovicu problému. Tím, ktorý vymení kľúč, lebo sa zmenila trasa, neopravil nič.

Kompromitovaný koncový bod je štvrtá otázka, pretože privilegovaný softvér na vašom vlastnom stroji dokáže podstatne viac než pozorovať pakety.

Roztrieďte incident do týchto kategórií, skôr než sa čohokoľvek dotknete, a každej pridelte vlastníka. Veďte krátky záznam o tom, čomu sa dôverovalo, čo sa delegovalo a čo sa overilo, pretože práve tento záznam robí nasledujúcu revíziu lacnou namiesto ďalšej debaty. Ak je niektorá kategória neznáma, napíšte neznáma, namiesto toho, aby ste predpokladali benígny prípad. Rozdiel je praktický, nie akademický: rozhoduje, či nahradíte poverenie, zrušíte reláciu alebo jednoducho prestanete presmerúvať.