SSH aracısını iletmek veya anahtarı kopyalamak: gerçekte ne sızıyor

İki farklı olay sızmış SSH anahtarı olarak adlandırılır ve farklı yanıtlar gerektirir. Genel anahtarla kimlik doğrulama, bir genel anahtar ve özel anahtarla oluşturulmuş bir imza gönderir, bu yüzden özel anahtar hiçbir zaman isteğin bir alanı olmaz. Aracı iletimi başka bir şeyi açığa çıkarır, çünkü iletilen aracınıza ulaşabilen uzak bir konak anahtarı hiç elinde tutmadan ondan imza isteyebilir. Bu ikisini tek bir olay olarak ele almak, ya anlamsız bir anahtar değişimiyle ya da çalışmaya devam eden bir devirle sonuçlanır.

Genel anahtarla giriş anahtarı değil, imzayı iletir

Kimlik doğrulama alışverişi, kullanıcının genel anahtarını ve oturum verileri üzerindeki imzayı taşır. Sunucu bu imzayı zaten güvendiği anahtarla denetler, bu yüzden özel yarı güvenilmeyen bir ağ üzerinden istemcide kalabilir. Tüneli izleyen bir VPN işletmecisi her durumda şifrelenmiş bir SSH oturumu görür.

Bu, protokolü anlatır, yoldaki her uç noktanın güvenilirliğini değil. Konak kimliği doğrulamasını bozulmadan koruyun, çünkü herhangi bir konak anahtarını kabul eden bir istemci burada tartışılandan farklı bir denetimden vazgeçmiştir. Yakalanan bir oturum ile yakalanan bir anahtar ayrı bulgulardır ve yalnızca biri kimlik bilgisi kaybıdır. İkisini raporda ayrı cümlelerde tutun.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

İlk komut genel parmak izini yazdırır, böylece onu sunucunun listelediğiyle karşılaştırabilirsiniz. İkincisi, kimsenin okumadığı bir varsayılana güvenmek yerine konak anahtarı denetimini açık hale getirir. Anahtarlarla ilgili bir şeyi değiştirmeden önce ikisini de çalıştırın, böylece başlangıç çizgisi belgelenir.

Bir aracıyı iletmek imzalama yeteneğini devreder

İletim açıkken uzak konakta bir soket görünür ve yerel aracı onun üzerinden gelen isteklere yanıt verir. Oturum sırasında bu soketi kullanabilen herkes, yüklenen kimlikleri kabul eden konaklara karşı sizin adınıza kimlik doğrulayabilir. Bunun çalışması için hiçbir özel anahtar ağı geçmez.

Maruziyet dosya değil, yetenektir. Bu yüzden iletim bir dizüstü bilgisayarın kurduğu her bağlantıya değil, adlandırılmış bir göreve ve adlandırılmış bir konağa aittir. İletilen aracı olmadan bağlantıyı aktaran bir sıçrama konağı genellikle ihtiyacı tamamen ortadan kaldırır.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

İlki aracının şu anda hangi kimlikleri tuttuğunu listeler, soketini başka bir makineye vermeden önce bilmeye değer. İkincisi devir olmadan bağlanır. Üçüncüsü, iletimi çoğu zaman tamamen değiştiren sıçrama konağı desenini gösterir.

Yanıtı elinizdeki kanıtlara göre seçin

Açığa çıktığı düşünülen bir imzalama kimliği, değiştirme ve iptal sürecini ve ona güvenen hizmetlerden kabulünün kaldırılmasını gerektirir. Dizüstü bilgisayarınızdaki kopyayı silmek diğer her kopyayı el değmeden bırakır. Hizmetlerle başlayın, sonra istemcileri temizleyin.

Geçici bir devir sorunu daha dardır. Gerekmeyen iletimi sonlandırın ve olayın sahibiyle hangi oturumları ve kimlikleri kapsadığını gözden geçirin. Anahtar değişimi yine de gelebilir, ama buna kanıt karar verir, endişe değil.

Gözlemlenen bir dışa aktarımın olmaması yalnızca korktuğunuz mekanizmanın ortaya çıkmadığını kanıtlar. O soketin diğer ucundaki bir konağın başka ne yapabileceği hakkında hiçbir şey söylemez.

Denetimleri raporda ayrı tutun

Özel malzemeyi koruyun, ondan kimin imza isteyebileceğini sınırlayın, karşı tarafın kimliğini doğrulanmış tutun. Bunlar birbirini güçlendiren üç denetimdir ve ne olduğunu açıklarken hiçbiri diğerinin yerini almaz.

Ele geçirilmiş bir dizüstü bilgisayar veya üzerindeki ayrıcalıklı bir uygulama, çok daha geniş etki alanına sahip üçüncü bir durumdur. VPN rotasını değiştirmek bunu çözmez ve diskten okunmuş olabilecek bir anahtara duyulan güveni geri getirmez.

Hangi bileşene güvenildiğini, iletimin açık olup olmadığını ve gerçekte ne gözlemlendiğini yazın. Sızdırmazlığın anlamına dair bir tahmin yerine bir sonraki kararı savunulabilir kılan tam da bu kayıttır.