Përçimi i agjentit SSH kundrejt kopjimit të një çelësi: çfarë rrjedh në të vërtetë

Dy ngjarje të ndryshme quhen çelës SSH i rrjedhur, dhe kërkojnë përgjigje të ndryshme. Vërtetimi me çelës publik dërgon një çelës publik dhe një nënshkrim të bërë me çelësin privat, kështu që çelësi privat nuk është kurrë fushë e kërkesës. Përçimi i agjentit ekspozon diçka tjetër, sepse një host i largët që arrin agjentin tuaj të përçuar mund t'i kërkojë atij të nënshkruajë pa e pasur çelësin kurrë. Nëse të dy trajtohen si një ngjarje e vetme, rezultati është ose një zëvendësim çelësi i panevojshëm, ose një delegim që vazhdon të funksionojë.

Hyrja me çelës publik përcjell një nënshkrim, jo çelësin

Shkëmbimi i vërtetimit mbart çelësin publik të përdoruesit dhe një nënshkrim mbi të dhënat e sesionit. Serveri e verifikon atë nënshkrim me çelësin që tashmë i beson, prandaj gjysma private mund të mbetet në klient përmes një rrjeti të pabesuar. Një operator VPN që vëzhgon tunelin sheh gjithsesi një sesion SSH të kriptuar.

Kjo përshkruan protokollin, jo besueshmërinë e çdo pike fundore në rrugë. Mbajeni të paprekur verifikimin e identitetit të hostit, sepse një klient që pranon çdo çelës hosti ka hequr dorë nga një kontroll tjetër nga ai që diskutohet këtu. Një sesion i kapur dhe një çelës i kapur janë gjetje të ndara, dhe vetëm njëra prej tyre është humbje kredencialesh. Mbajini të dyja në fjali të ndara të raportit.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Komanda e parë printon gjurmën publike që ta krahasoni me atë që liston serveri. E dyta e bën të qartë kontrollin e çelësit të hostit në vend që të mbështetet te një vlerë e parazgjedhur që askush nuk e ka lexuar. Ekzekutoni të dyja përpara se të ndryshoni diçka te çelësat, që vija bazë të dokumentohet.

Përçimi i një agjenti delegon aftësinë për të nënshkruar

Kur përçimi është aktiv, një socket shfaqet në hostin e largët dhe agjenti lokal u përgjigjet kërkesave që vijnë përmes tij. Kushdo që mund të përdorë atë socket gjatë sesionit mund të vërtetohet si ju te hostet që pranojnë identitetet e ngarkuara. Asnjë çelës privat nuk kalon rrjetin që kjo të funksionojë.

Ekspozimi është aftësia, jo skedari. Prandaj përçimi i përket një detyre të emërtuar dhe një hosti të emërtuar, jo çdo lidhjeje që bën një laptop. Një host kërcimi që e transmeton lidhjen pa një agjent të përçuar zakonisht e eliminon nevojën plotësisht.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

E para liston çfarë identitetesh mban agjenti tani, gjë që ia vlen të dihet përpara se t'i japësh socket-in e tij një makinerie tjetër. E dyta lidhet pa delegim. E treta tregon modelin e hostit të kërcimit që shpesh e zëvendëson përçimin plotësisht.

Zgjidhni përgjigjen sipas provave që keni

Një identitet nënshkrimi që besohet i ekspozuar kërkon procesin e zëvendësimit dhe revokimit, si dhe heqjen e pranimit të tij nga shërbimet që i besuan. Fshirja e kopjes në laptop lë çdo kopje tjetër të paprekur. Filloni nga shërbimet, pastaj pastroni klientët.

Një problem i përkohshëm delegimi është më i ngushtë. Përfundoni përçimin që nuk ishte i nevojshëm, dhe rishikoni me pronarin e incidentit cilat sesione dhe identitete mbulonte. Zëvendësimi i çelësit mund të pasojë, por provat e vendosin këtë, jo shqetësimi.

Mungesa e një eksporti të vëzhguar vërteton vetëm se mekanizmi që ju druheshit nuk u shfaq. Nuk thotë asgjë për atë që një host në anën tjetër të atij socket-i mund të kishte bërë.

Mbajini kontrollet të ndara në raport

Mbron materialin privat, kufizo kush mund t'i kërkojë nënshkrim, mbaj identitetin e palës tjetër të verifikuar. Këto janë tre kontrolle që forcojnë njëri-tjetrin, dhe asnjëri nuk e zëvendëson tjetrin kur shpjegoni çfarë ndodhi.

Një laptop i kompromentuar ose një aplikacion i privilegjuar mbi të është rasti i tretë me një shtrirje shumë më të gjerë. Ndryshimi i rrugës VPN nuk e zgjidh dhe nuk e rikthen besimin te një çelës që mund të jetë lexuar nga disku.

Shkruani cili komponent u besua, nëse përçimi ishte aktiv dhe çfarë u vëzhgua në të vërtetë. Është pikërisht ai regjistër që e bën vendimin tjetër të mbrojtshëm, në vend të një hamendjeje për kuptimin e një rrjedhjeje.