SSH kalitining maxfiy so‘zi faylni himoya qiladi, yo‘lni emas

Eski noutbukdan qolgan zaxira diskda hali ham shaxsiy SSH kaliti bor va kimdir VPN uni himoya qiladimi deb so‘raydi. Himoya qilmaydi va hech qachon qilmagan. VPN ikki tarmoq orasidagi yo‘lni himoya qiladi; maxfiy so‘z faylni himoya qiladi; agent ishlab turgan sessiyani himoya qiladi. Uch xil mexanizm, uch xil nosozlik usuli va o‘g‘irlangan nusxa faqat birinchi ikkitasiga e'tibor beradi.

Maxfiy so‘z faylga tegishli

SSH kalitining maxfiy so‘zi tinch holatdagi shaxsiy kalit materialini shifrlaydi. Bu serverga yuboriladigan hisob paroli emas va VPNga qo‘shilish uchun ishlatiladigan ishonch ma'lumoti emas. Ularni chalkashtirish ta'sirni hal qilmaydigan o‘zgarishlarga olib keladi.

OpenSSHning ssh-keygen qo‘llanmasi maxfiy so‘zlar bilan ishlashni qamrab oladi, jumladan allaqachon mavjud kalitga yangi maxfiy so‘z o‘rnatadigan -p kaliti.

Mavjud kalit uchun buyruq shakli oddiy va u faylni qayta yozadi:

ssh-keygen -p -f ~/.ssh/id_ed25519

Kalit egasining tasdiqlangan xizmat ko‘rsatish va tiklash jarayonidan foydalaning, chunki bu tekshirish emas, yozish. Shaxsiy faylni e'lon qilmang va umumiy buyruq satriga haqiqiy maxfiy so‘z qo‘ymang. Maxfiy so‘zni o‘zgartirish avval olingan nusxani qayta shifrlamaydi. Eski nusxaning joyini biletda qayd eting, egasi uni yo‘q qilish-qilmaslikni hal qilishi uchun.

Nusxa noutbuk va tunneldan uzoqroq yashaydi

Kalit fayli nusxalangandan so‘ng, noutbukning faol VPN ulanishi u haqida hech narsa demaydi. Muhimi — faylning o‘zi qanchalik yaxshi himoyalangani va qaysi serverlar mos keladigan ochiq kalitga hali ham ishonishi.

Joriy fayldagi maxfiy so‘zni o‘zgartirish nusxaga tegmaydi va serverdagi authorized_keysdan o‘sha ochiq kalitni olib tashlamaydi. Bekor qilish va qayta shifrlash alohida amallar.

Shuning uchun oqib ketgan shaxsiy kalitni tarmoq hodisasi emas, identifikatsiya hodisasi deb qarang. Qabul qilingan kalitni unga egalik qiluvchi serverlar va ro‘yxatdan o‘tish jarayoni orqali olib tashlang yoki almashtiring. VPNni to‘xtatish bir lahzada bitta yo‘lni cheklaydi; bu bekor qilish emas.

Qulfni ochish sirni agentga ko‘chiradi

Agent keyingi autentifikatsiya uchun shifri ochilgan identifikatsiyalarni saqlaydi, shuning uchun foydalanuvchi har bir ulanishda maxfiy so‘zni qayta yozmaydi. Bu o‘z xavfsizlik chegarasiga ega qulaylik.

ssh-agent o‘zining -t opsiyasi orqali identifikatsiya qancha vaqt yuklangan turishini cheklashi mumkin, alohida identifikatsiya sozlamasi esa bu chegaradan oshishi mumkin. VPN uzilganda har bir yuklangan kalit unutiladi deb o‘ylash o‘rniga, haqiqatda ishga tushiradigan agentingiz uchun siyosat tanlang.

Kalit qulfi ochilgandan keyin buzilgan jarayon o‘g‘irlangan shifrlangan fayldan boshqa muammo. Agentni boshqa hostga yo‘naltirish kalit faylini nusxalamasdan autentifikatsiya qobiliyatini topshiradi, shuning uchun uni faqat tasdiqlangan ehtiyoj uchun yoqing.

O‘zgarishdan oldin va keyin agent hozir nima saqlayotganini sanab chiqing:

ssh-add -l

Nazoratsiz ishlar o‘z rejasiga muhtoj

Rejalashtirilgan ish so‘rovga javob bera olmaydi. Unga mashina ishonch ma'lumotlarining tasdiqlangan tartibi kerak, qulfni ochish sirini kalit bilan bir papkada, o‘sha hisob o‘qiy oladigan holda saqlash esa ikkinchi chegara yaratmaydi.

Qo‘llab-quvvatlanadigan sir yetkazib berish yoki apparatga asoslangan ish bo‘yicha xizmat egasi bilan ishlang va yangilash, nosozlik va tiklashni qamrab oling. Klaviatura oldida odam bo‘lishini xohlash, hech kim kuzatmaydigan host bilan solishtirganda nosozlik ko‘rinishini o‘zgartiradi.

Serverning host identifikatsiyasini tekshirish va uning hisob cheklovlarini ham saqlang. VPN yo‘li sizga shaxsiy yo‘l beradi; u yetib boradigan har bir SSH tinglovchisi o‘ylagan hostingiz ekanini isbotlamaydi. Tinglovchini va host kalitining barmoq izini kalitning o‘zi kabi o‘sha ro‘yxatga yozing.

Chegaralarni alohida tekshiring

Har bir chegarani o‘z savoli bilan sinab ko‘ring. Fayl maxfiy so‘zsiz ochiladimi? Uzilgandan keyin ham agent identifikatsiyani saqlaydimi? Server hali ham ochiq kalitni qabul qiladimi?

Ikki buyruq birinchi va uchinchi savolga javob beradi:

ssh-keygen -y -f ~/.ssh/id_ed25519
ssh -v [email protected]

Fayl himoyasini, kalitdan ruxsat etilgan foydalanishni va server tomonidagi olib tashlashni uch alohida satr sifatida qayd eting. Tunnel, maxfiy so‘z va agent har biri munosabatning boshqa qismini qo‘riqlaydi va ulardan faqat bittasi tarmoq haqida.