Kopiran ključ SSH ali posredovan agent? Dve različni tveganji

Prijava, ki uporablja ključ SSH prek VPN, ne pomeni, da je bil zasebni ključ izročen operaterju omrežja, in ta pomiritev je ožja, kot jo ljudje slišijo. Preverjanje s javnim ključem pošlje javni ključ in podpis, ki ga odjemalec ustvari lokalno. Posredovanje agenta je druga ureditev z drugačno izpostavljenostjo in lahko pusti uporabno zmožnost preverjanja na stroju, ki ga ne nadzorujete. Odgovor, ki ga dolgujete, je odvisen od tega, katera od obeh se je v resnici zgodila.

Kaj pošlje preverjanje s javnim ključem

Pri standardni metodi z javnim ključem odjemalec ponudi javni ključ, strežnik odloči, ali ta ključ sprejme, in odjemalec podpiše izziv z zasebnim ključem, ki ostane v njegovi datoteki ali njegovem agentu. Po omrežju gresta javni ključ in nastali podpis. Nič v tej izmenjavi ne zahteva, da bi strežnik, tunel ali kdorkoli na poti imel zasebni material.

Specifikacija preverjanja opredeljuje ta dokaz, zasebni ključ pa ni polje v zahtevi.

To je trditev o protokolu, ne opis značaja vsake vključene končne točke. Preverjanje identitete gostitelja mora biti še vedno nedotaknjeno, ker lahko strežnik, ki ne more dokazati, kdo je, zbira podpise za namen, ki ga niste predvideli. Najeta VM, podedovani bastion in prenosnik z neznano razširitvijo so tri ločena vprašanja zaupanja. Držite jih ločeno od kriptografskega, ki je resnično rešeno.

Kaj delegira posredovanje agenta

Posredovanje agenta odpre kanal z oddaljenega gostitelja nazaj do agenta na vašem stroju, tako da lahko procesi na tem gostitelju prosijo agenta za podpis, ne da bi kdaj imeli zasebni ključ. Ključ ostane tam, kjer je, zmožnost pa ne. Karkoli lahko doseže to posredovano vtičnico na oddaljenem gostitelju, ves čas trajanja seje, lahko zahteva preverjalne operacije kot ena od naloženih identitet. To je prenesena pristojnost, zato si posredovanje zasluži ožjo politiko kot izročitev javnega ključa.

Kopirana datoteka s ključem je razkritje. Posredovan agent je dovoljenje in oba potrebujeta različna odgovora.

Omogočite posredovanje za imenovano potrebo in imenovane gostitelje ter preverite, kaj odjemalec resnično počne, namesto tega, kar se zdi, da pravi konfiguracija. Štejejo veljavne nastavitve, ker blok gostitelja tiho preglasi globalno privzeto vrednost. Ista logika velja na strežniški strani, ki lahko posredovanje povsem zavrne, ko ga uvedba nikoli ne potrebuje.

Preberite dokaze, preden izberete odgovor

Če se domneva, da je bila datoteka z zasebnim ključem ali enakovredna podpisna identiteta razkrita, je odgovor zamenjava in preklic po postopku vaše organizacije, poleg odstranitve njenega sprejemanja iz vsake storitve, ki ji je zaupala. Brisanje ene lokalne kopije ne razveljavi kopij, ki jih ne vidite.

Če je skrb začasen dostop agenta, je odgovor ožji: ustavite nepotrebno delegiranje, pregledajte vključene seje in identitete ter prepustite lastniku incidenta odločitev, ali je zamenjava upravičena. Dokazi so tu pomembni, ker odsotnost opaženega izvoza ne dokazuje, da preverjanje ni bilo zlorabljeno, in sama sprememba poti ni diagnoza ukradenega ključa. Zapišite, kateri komponenti se je zaupalo, ali je bilo posredovanje omogočeno in kaj je bilo v resnici opaženo. Nato izberite odgovor, ki ustreza temu zapisu, namesto najbolj dramatičnega, ki je na voljo.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Zaženite jih pred spremembo in po njej, da bo primerjava kaj pomenila. Seja, vzpostavljena prej, obdrži delegiranje, ki ji je bilo dodeljeno, kar koli nastavitve zdaj pravijo.

Dve kontroli, ki nista zamenljivi

Zaščita zasebnega materiala, omejevanje, kdo lahko zahteva njegov podpis, in preverjanje identitete druge strani so tri povezane kontrole in nobena ne nadomesti druge. Ekipa, ki odstrani posredovanje brez preverjanja ključev gostiteljev, je popravila polovico težave. Ekipa, ki zavrti ključ, ker se je spremenila pot, ni popravila ničesar.

Kompromitirana končna točka je četrto vprašanje, ker lahko privilegirana programska oprema na vašem lastnem stroju naredi precej več kot opazuje pakete.

Razvrstite incident v te kategorije, preden se česar koli dotaknete, in vsaki dodelite lastnika. Vodite kratek zapis o tem, čemu se je zaupalo, kaj je bilo delegirano in kaj preverjeno, ker ta zapis naredi naslednji pregled cenen namesto še ene razprave. Če je katera kategorija neznana, napišite neznana, namesto da bi predpostavili benigni primer. Razlika je praktična, ne akademska: odloča, ali zamenjate poverilnico, prekličete sejo ali preprosto prenehate posredovati.