SSH anahtarı kopyalandı mı, aracı mı iletildi? İki farklı risk

VPN üzerinden SSH anahtarı kullanan bir oturum açma, özel anahtarın ağ operatörüne verildiği anlamına gelmez ve bu güvence insanların duyduğundan daha dardır. Açık anahtarla kimlik doğrulama, bir açık anahtar ve istemcinin yerelde ürettiği bir imza gönderir. Aracı iletme, farklı bir maruziyete sahip farklı bir düzenlemedir ve denetlemediğiniz bir makinede kullanılabilir bir kimlik doğrulama yeteneği bırakabilir. Vermeniz gereken yanıt, bu ikisinden hangisinin gerçekten olduğuna bağlıdır.

Açık anahtarla kimlik doğrulama ne gönderir

Standart açık anahtar yönteminde istemci bir açık anahtar önerir, sunucu bu anahtarı kabul edip etmeyeceğine karar verir ve istemci dosyasında veya aracısında kalan özel anahtarla bir meydan okumayı imzalar. Ağdan geçen, açık anahtar ve ondan doğan imzadır. Bu değiş tokuşta hiçbir şey sunucunun, tünelin veya yoldaki herhangi birinin özel malzemeyi tutmasını gerektirmez.

Kimlik doğrulama belirtimi bu kanıtı tanımlar ve özel anahtar istekte bir alan değildir.

Bu bir protokol hakkında ifadedir, ilgili her uç nokta için karakter referansı değildir. Ana bilgisayar kimliği denetimi yine de bozulmamış olmalıdır, çünkü kim olduğunu kanıtlayamayan bir sunucu, amaçlamadığınız bir amaç için imza topluyor olabilir. Kiralık bir VM, devralınmış bir bastion ve bilinmeyen bir uzantı çalıştıran bir dizüstü bilgisayar üç ayrı güven sorusudur. Bunları gerçekten çözülmüş olan kriptografik sorudan ayrı tutun.

Aracı iletme neyi devreder

Aracı iletme, uzak ana bilgisayardan makinenizdeki aracıya geri bir kanal açar, böylece o ana bilgisayardaki süreçler özel anahtarı hiç tutmadan aracıdan imzalamasını isteyebilir. Anahtar olduğu yerde kalır, yetenek kalmaz. Uzak ana bilgisayardaki o iletilmiş sokete erişebilen her şey, oturumun ömrü boyunca, yüklenen kimliklerden biri olarak kimlik doğrulama işlemleri talep edebilir. Bu, devredilmiş yetki anlamına gelir, bu yüzden iletme açık anahtar tesliminden daha dar bir politikayı hak eder.

Kopyalanmış bir anahtar dosyası bir ifşadır. İletilmiş bir aracı bir izindir ve ikisi farklı yanıtlar gerektirir.

İletmeyi adlandırılmış bir ihtiyaç ve adlandırılmış ana bilgisayarlar için etkinleştirin ve istemcinin gerçekte ne yaptığını, yapılandırmanın söylüyor gibi göründüğü şey yerine kontrol edin. Önemli olan etkin ayarlardır, çünkü bir ana bilgisayar bloğu küresel varsayılanı sessizce geçersiz kılar. Aynı mantık sunucu tarafı için de geçerlidir; dağıtım hiç ihtiyaç duymadığında iletmeyi tamamen reddedebilir.

Bir yanıt seçmeden önce kanıtları okuyun

Özel bir anahtar dosyasının veya eşdeğer bir imzalama kimliğinin açığa çıktığına inanılıyorsa, yanıt kuruluşunuzun süreci aracılığıyla değiştirme ve iptal, ayrıca ona güvenen her hizmetten kabulünün kaldırılmasıdır. Bir yerel kopyayı silmek, göremediğiniz kopyaları geçersiz kılmaz.

Endişe geçici aracı erişimiyse, yanıt daha dardır: gereksiz devri durdurun, ilgili oturumları ve kimlikleri gözden geçirin ve değiştirmenin haklı olup olmadığına olay sahibi karar versin. Kanıt burada önemlidir, çünkü gözlemlenen bir dışa aktarım olmaması hiçbir kimlik doğrulamanın kötüye kullanılmadığını kanıtlamaz ve yalnızca yol değişikliği çalınmış anahtarın tanısı değildir. Hangi bileşene güvenildiğini, iletmenin etkin olup olmadığını ve gerçekte ne gözlemlendiğini yazın. Sonra o kayda uyan yanıtı seçin, mevcut en dramatik olanı değil.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Değişiklikten önce ve sonra bunları çalıştırın ki karşılaştırma bir anlam taşısın. Daha önce kurulmuş bir oturum, ayarlar şimdi ne derse desin, kendisine verilen devri korur.

Birbirinin yerine geçmeyen iki denetim

Özel malzemeyi korumak, imzasını kimin isteyebileceğini sınırlamak ve karşı tarafın kimliğini doğrulamak birbiriyle ilişkili üç denetimdir ve hiçbiri diğerinin yerini tutmaz. Ana bilgisayar anahtarlarını kontrol etmeden iletmeyi kaldıran bir ekip sorunun yarısını düzeltmiştir. Yol değiştiği için anahtarı döndüren bir ekip hiçbir şeyi düzeltmemiştir.

Ele geçirilmiş bir uç nokta dördüncü sorudur, çünkü kendi makinenizdeki ayrıcalıklı yazılım paketleri gözlemlemekten çok daha fazlasını yapabilir.

Bir şeye dokunmadan önce olayı bu kategorilere ayırın ve her birine bir sahip verin. Neye güvenildiğine, neyin devredildiğine ve neyin doğrulandığına dair kısa bir kayıt tutun, çünkü o kayıt bir sonraki incelemeyi başka bir tartışma yerine ucuz kılan şeydir. Herhangi bir kategori bilinmiyorsa, iyi huylu durumu varsaymak yerine bilinmiyor yazın. Ayrım akademik değil pratiktir: bir kimlik bilgisini değiştirip değiştirmediğinize, bir oturumu iptal edip etmediğinize veya yalnızca iletmeyi durdurup durdurmayacağınıza karar verir.