SSH agentini uzatish yoki kalitni nusxalash: aslida nima sizib chiqadi

Ikki xil hodisa sizib chiqqan SSH kaliti deb ataladi va ular turli javob talab qiladi. Ochiq kalit bilan autentifikatsiya ochiq kalit va maxfiy kalit bilan yaratilgan imzoni yuboradi, shuning uchun maxfiy kalit hech qachon so'rov maydoni bo'lmaydi. Agentni uzatish boshqa narsani ochib beradi, chunki uzatilgan agentingizga yeta oladigan masofaviy xost kalitni hech qachon ushlamasdan undan imzo qo'yishni so'rashi mumkin. Bu ikkisini bitta hodisa deb qabul qilish yo ma'nosiz kalit almashtirishga, yo ishlashda davom etadigan vakolatga olib keladi.

Ochiq kalit bilan kirish kalitni emas, imzoni uzatadi

Autentifikatsiya almashinuvi foydalanuvchining ochiq kalitini va sessiya ma'lumotlari ustidagi imzoni olib yuradi. Server bu imzoni allaqachon ishonadigan kalit bilan tekshiradi, shu sababli maxfiy yarmi ishonchsiz tarmoq orqali ham mijoza qolishi mumkin. Tunnelni kuzatayotgan VPN operatori har qanday holatda shifrlangan SSH sessiyasini ko'radi.

Bu protokolni tavsiflaydi, yo'ldagi har bir so'nggi nuqtaning ishonchliligini emas. Xost identifikatsiyasini tekshirishni buzilmagan holda saqlang, chunki har qanday xost kalitini qabul qiladigan mijoz bu yerda muhokama qilinayotganidan boshqa nazoratdan voz kechgan. Tutib olingan sessiya va tutib olingan kalit alohida topilmalar va ulardan faqat bittasi hisob ma'lumotlarining yo'qolishi. Ikkalasini hisobotda alohida gaplarda saqlang.

ssh-keygen -lf ~/.ssh/id_ed25519.pub
ssh -o StrictHostKeyChecking=yes [email protected]

Birinchi buyruq ochiq barmoq izini chop etadi, shunda uni server sanab o'tgan bilan taqqoslashingiz mumkin. Ikkinchisi hech kim o'qimagan standart qiymatga tayanish o'rniga xost kalitini tekshirishni ochiq qiladi. Kalitlar haqida biror narsani o'zgartirishdan oldin ikkalasini ham ishga tushiring, boshlang'ich chiziq hujjatlashtirilsin.

Agentni uzatish imzo qo'yish qobiliyatini topshiradi

Uzatish yoqilganda masofaviy xostda soket paydo bo'ladi va mahalliy agent u orqali keladigan so'rovlarga javob beradi. Sessiya davomida bu soketdan foydalana oladigan har kim yuklangan identifikatsiyalarni qabul qiladigan xostlar oldida siz sifatida autentifikatsiyadan o'tishi mumkin. Bu ishlashi uchun hech qanday maxfiy kalit tarmoqdan o'tmaydi.

Ta'sir qobiliyatdir, fayl emas. Shuning uchun uzatish noutbuk qiladigan har bir ulanishga emas, nomlangan vazifa va nomlangan xostga tegishli. Uzatilgan agentsiz ulanishni uzatib yuboradigan sakrash xosti odatda ehtiyojni butunlay yo'q qiladi.

ssh-add -l
ssh -o ForwardAgent=no [email protected]
ssh -J [email protected] [email protected]

Birinchi agent hozir qaysi identifikatsiyalarga ega ekanini sanab o'tadi, bu uning soketini boshqa mashinaga berishdan oldin bilishga arziydi. Ikkinchisi vakolatsiz ulanadi. Uchinchisi uzatishni ko'pincha butunlay almashtiradigan sakrash xosti uslubini ko'rsatadi.

Javobni qo'lingizdagi dalillarga qarab tanlang

Ochilgan deb hisoblangan imzo identifikatsiyasi almashtirish va bekor qilish jarayonini, shuningdek unga ishongan xizmatlardan uni qabul qilishni olib tashlashni talab qiladi. Noutbukingizdagi nusxani o'chirish qolgan har bir nusxani tegilmagan holda qoldiradi. Xizmatlardan boshlang, keyin mijozlarni tozalang.

Vaqtinchalik vakolat muammosi torroq. Kerak bo'lmagan uzatishni to'xtating va hodisa egasi bilan u qaysi sessiya va identifikatsiyalarni qamrab olganini ko'rib chiqing. Kalit almashtirish keyin kelishi mumkin, lekin buni dalillar hal qiladi, tashvish emas.

Kuzatilgan eksport yo'qligi faqat siz qo'rqqan mexanizm paydo bo'lmaganini isbotlaydi. Bu soketning narigi uchidagi xost yana nima qila olgani haqida hech narsa demaydi.

Hisobotda nazorat choralarini alohida saqlang

Maxfiy materialni himoya qiling, undan kim imzo so'rashi mumkinligini cheklang, qarshi tomon identifikatsiyasini tekshirilgan holda saqlang. Bu bir-birini kuchaytiradigan uchta nazorat bo'lib, nima bo'lganini tushuntirganda ularning hech biri boshqasining o'rnini bosmaydi.

Buzilgan noutbuk yoki undagi imtiyozli ilova ancha keng ta'sir doirasiga ega uchinchi holat. VPN marshrutini o'zgartirish buni hal qilmaydi va diskdan o'qilgan bo'lishi mumkin bo'lgan kalitga ishonchni qaytarmaydi.

Qaysi komponentga ishonilganini, uzatish yoqilganmi va aslida nima kuzatilganini yozib qo'ying. Aynan shu yozuv keyingi qarorni sizib chiqish ma'nosi haqidagi taxmin o'rniga himoya qilsa bo'ladigan qiladi.