Pagpapasa ng SSH agent kumpara sa pagkopya ng key: ano talaga ang tumatagas

Dalawang magkaibang kaganapan ang tinatawag na tumagas na SSH key, at nangangailangan sila ng magkaibang tugon. Ang pagpapatunay gamit ang public key ay nagpapadala ng public key at pirma na ginawa gamit ang private key, kaya ang private key ay hindi kailanman field sa kahilingan. Ang pagpapasa ng agent ay naglalantad ng ibang bagay, dahil ang malayong host na nakakaabot sa iyong ipinasang agent ay maaaring humiling dito na pumirma nang hindi kailanman hawak ang key. Kung ituturing ang dalawa bilang isang kaganapan, mapupunta ka sa walang saysay na pagpalit ng key o sa delegasyong patuloy na tumatakbo.

Ang pag-login gamit ang public key ay nagpapadala ng pirma, hindi ang key

Ang palitan ng pagpapatunay ay nagdadala ng public key ng gumagamit at pirma sa data ng sesyon. Sinusuri ng server ang pirmang iyon laban sa key na pinagkakatiwalaan na nito, kaya ang private na kalahati ay maaaring manatili sa kliyente sa isang network na hindi pinagkakatiwalaan. Ang operator ng VPN na sumusubaybay sa tunnel ay nakakakita pa rin ng naka-encrypt na sesyon ng SSH.

Inilalarawan niyan ang protocol, hindi ang pagiging mapagkakatiwalaan ng bawat dulo sa landas. Panatilihing buo ang beripikasyon ng pagkakakilanlan ng host, dahil ang kliyenteng tumatanggap ng kahit anong key ng host ay nagbitiw sa ibang kontrol kaysa sa tinatalakay natin. Ang nasamsam na sesyon at nasamsam na key ay magkaibang natuklasan, at isa lamang sa kanila ang pagkawala ng kredensyal. Panatilihin ang dalawa sa magkaibang pangungusap ng ulat.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Ang unang utos ay nagpi-print ng public fingerprint para maihambing mo ito sa inililista ng server. Ang pangalawa ay ginagawang tahasan ang pagsusuri ng key ng host sa halip na umasa sa default na walang nakabasa. Patakbuhin ang dalawa bago magbago ng anuman sa mga key, upang maidokumento ang baseline.

Ang pagpapasa ng agent ay nagtatalaga ng kakayahang pumirma

Kapag naka-enable ang pagpapasa, may lumilitaw na socket sa malayong host at sinasagot ng lokal na agent ang mga kahilingang dumarating dito. Sinumang makakagamit ng socket na iyon sa sesyon ay makakapagpatunay ng sarili bilang ikaw sa mga host na tumatanggap ng mga na-load na pagkakakilanlan. Walang private key na tumatawid sa network para gumana iyon.

Ang pagkakalantad ay ang kakayahan, hindi ang file. Kaya ang pagpapasa ay kabilang sa isang pinangalanang gawain at pinangalanang host, hindi sa bawat koneksyong ginagawa ng laptop. Ang jump host na nagpapasa ng koneksyon nang walang ipinasang agent ay karaniwang nag-aalis ng pangangailangan nang tuluyan.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Ang una ay naglilista kung anong mga pagkakakilanlan ang hawak ng agent ngayon, na sulit malaman bago ibigay ang socket nito sa ibang makina. Ang pangalawa ay kumokonekta nang walang delegasyon. Ang pangatlo ay nagpapakita ng pattern ng jump host na kadalasang pumapalit sa pagpapasa nang buo.

Piliin ang tugon batay sa ebidensyang mayroon ka

Ang pagkakakilanlang pampirma na pinaniniwalaang nalantad ay nangangailangan ng proseso ng pagpapalit at pagbawi, at pag-alis ng pagtanggap nito sa mga serbisyong nagtiwala rito. Ang pagbura ng kopya sa iyong laptop ay nag-iiwan sa bawat ibang kopya na hindi nagalaw. Magsimula sa mga serbisyo, pagkatapos linisin ang mga kliyente.

Ang pansamantalang problema sa delegasyon ay mas makitid. Tapusin ang pagpapasang hindi kailangan, at suriin kasama ng may-ari ng insidente kung aling mga sesyon at pagkakakilanlan ang sakop nito. Maaaring sumunod ang pagpapalit ng key, ngunit ebidensya ang nagpapasya, hindi ang pag-aalala.

Ang kawalan ng naobserbahang pag-export ay nagpapatunay lamang na ang mekanismong kinatatakutan mo ay hindi lumitaw. Wala itong sinasabi tungkol sa kung ano pa ang maaaring ginawa ng host sa kabilang dulo ng socket na iyon.

Panatilihing hiwalay ang mga kontrol sa ulat

Protektahan ang pribadong materyal, limitahan kung sino ang maaaring humiling dito ng pirma, panatilihing beripikado ang pagkakakilanlan ng kabilang panig. Tatlong kontrol iyon na nagpapalakas sa isa't isa, at wala sa kanila ang pumapalit sa isa pa kapag ipinapaliwanag mo ang nangyari.

Ang kompromisadong laptop o pribilehiyadong aplikasyon dito ay ikatlong kaso na may mas malawak na saklaw. Ang pagbabago ng ruta ng VPN ay hindi nito nilulutas at hindi nito naibabalik ang tiwala sa key na maaaring nabasa mula sa disk.

Isulat kung aling bahagi ang pinagkatiwalaan, kung naka-enable ba ang pagpapasa, at ano ang tunay na naobserbahan. Ang rekord na iyon ang gumagawa sa susunod na desisyon na depensable sa halip na isang hula tungkol sa kahulugan ng pagtagas.