SSH kaliti nusxalandimi yoki agent uzatildimi? Ikki xil xavf

VPN orqali SSH kalitidan foydalanadigan kirish maxfiy kalit tarmoq operatoriga topshirilgan degani emas, va bu ishonch odamlar eshitadiganidan torroq. Ochiq kalit bilan autentifikatsiya ochiq kalit va mijoz mahalliy ravishda yaratadigan imzoni yuboradi. Agent uzatish boshqa ta'sirga ega boshqa tuzilma bo'lib, siz nazorat qilmaydigan mashinada foydalanish mumkin bo'lgan autentifikatsiya qobiliyatini qoldirishi mumkin. Siz berishingiz kerak bo'lgan javob bu ikkisidan qaysi biri haqiqatan sodir bo'lganiga bog'liq.

Ochiq kalit bilan autentifikatsiya nima yuboradi

Standart ochiq kalit usulida mijoz ochiq kalit taklif qiladi, server bu kalitni qabul qiladimi-yo'qmi hal qiladi, va mijoz o'z faylida yoki agentida qoladigan maxfiy kalit bilan chaqiruvga imzo chekadi. Tarmoqdan o'tadigan narsa ochiq kalit va undan hosil bo'ladigan imzodir. Bu almashinuvda hech narsa server, tunnel yoki yo'ldagi birovdan maxfiy materialni saqlashni talab qilmaydi.

Autentifikatsiya spetsifikatsiyasi bu dalilni belgilaydi, va maxfiy kalit so'rovdagi maydon emas.

Bu protokol haqidagi bayonot, har bir jalb qilingan oxirgi nuqta uchun xarakter ma'lumotnomasi emas. Xost identifikatsiyasini tekshirish hali ham buzilmagan bo'lishi kerak, chunki o'zini kimligini isbotlay olmaydigan server siz nazarda tutmagan maqsad uchun imzolar to'plashi mumkin. Ijaraga olingan VM, meros qolgan bastion va notanish kengaytmani ishlatadigan noutbuk uchta alohida ishonch savolidir. Ularni haqiqatan hal qilingan kriptografik savoldan alohida tuting.

Agent uzatish nimani vakolat qiladi

Agent uzatish uzoq xostdan sizning mashinangizdagi agentga qaytib kanal ochadi, shuning uchun o'sha xostdagi jarayonlar maxfiy kalitni hech qachon ushlamasdan agentdan imzo chekishni so'rashi mumkin. Kalit o'z joyida qoladi, qobiliyat esa qolmaydi. Uzoq xostdagi o'sha uzatilgan soketga yeta oladigan har qanday narsa, sessiya umri davomida, yuklangan identifikatsiyalardan biri sifatida autentifikatsiya amallarini so'rashi mumkin. Bu vakolat berilgan hokimiyat, shuning uchun uzatish ochiq kalitni topshirishdan torroq siyosatga loyiq.

Nusxalangan kalit fayli — oshkor qilish. Uzatilgan agent — ruxsat, va ikkalasiga turli javob kerak.

Uzatishni nomlangan ehtiyoj va nomlangan xostlar uchun yoqing, va konfiguratsiya aytayotgandek ko'rinadigan narsadan ko'ra mijoz haqiqatda nima qilishini tekshiring. Muhimi samarali sozlamalar, chunki xost bloki global standart qiymatni jimgina bekor qiladi. Xuddi shu mantiq server tomoniga ham tegishli, u joylashtirish hech qachon kerak bo'lmasa uzatishni butunlay rad etishi mumkin.

Javob tanlashdan oldin dalillarni o'qing

Agar maxfiy kalit fayli yoki unga teng imzo identifikatsiyasi oshkor bo'lgan deb hisoblansa, javob — tashkilotingiz jarayoni orqali almashtirish va bekor qilish, shuningdek unga ishongan har bir xizmatdan uni qabul qilishni olib tashlash. Bitta mahalliy nusxani o'chirish siz ko'rmaydigan nusxalarni bekor qilmaydi.

Agar xavotir vaqtinchalik agent kirishi bo'lsa, javob torroq: keraksiz vakolat berishni to'xtating, jalb qilingan sessiyalar va identifikatsiyalarni ko'rib chiqing, va almashtirish asosli yoki yo'qligini hodisa egasi hal qilsin. Bu yerda dalil muhim, chunki kuzatilgan eksport yo'qligi hech qanday autentifikatsiya suiiste'mol qilinmaganini isbotlamaydi, va yo'lning o'zgarishi yolg'iz o'g'irlangan kalit diagnostikasi emas. Qaysi komponentga ishonilgani, uzatish yoqilganmi va haqiqatda nima kuzatilganini yozib qo'ying. So'ng shu yozuvga mos javobni tanlang, mavjud eng dramatik emas.

ssh-add -l
ssh -G host.example | grep -i forwardagent

Ular bilan o'zgarishdan oldin va keyin ishga tushiring, taqqoslash mazmunga ega bo'lsin. Ilgari o'rnatilgan sessiya o'ziga berilgan vakolatni saqlaydi, sozlamalar hozir nima desa ham.

Bir-birini almashtira olmaydigan ikki nazorat

Maxfiy materialni himoya qilish, unga imzo chekishni kim so'rashi mumkinligini cheklash, va qarshi tomon identifikatsiyasini tekshirish uchta bog'liq nazorat, va hech biri ikkinchisini almashtirmaydi. Xost kalitlarini tekshirmasdan uzatishni olib tashlagan jamoa muammoning yarmini tuzatdi. Yo'l o'zgargani uchun kalitni aylantirgan jamoa hech narsani tuzatmadi.

Zararlangan oxirgi nuqta — to'rtinchi savol, chunki o'z mashinangizdagi imtiyozli dasturiy ta'minot paketlarni kuzatishdan ancha ko'proq narsa qila oladi.

Biror narsaga tegishdan oldin hodisani o'sha toifalarga ajrating, va har biriga egasini tayinlang. Nimaga ishonilgani, nima vakolat qilingani va nima tekshirilgani haqida qisqa yozuv tuting, chunki keyingi ko'rib chiqishni yana bir bahs emas, arzon qiladigan narsa o'sha yozuv. Agar biror toifa noma'lum bo'lsa, xayrixoh holatni taxmin qilish o'rniga noma'lum deb yozing. Farq amaliy, akademik emas: siz hisob ma'lumotlarini almashtirasizmi, sessiyani bekor qilasizmi yoki shunchaki uzatishni to'xtatasizmi — buni u hal qiladi.