1126
Software / Re:ssh-agent pasphrase forwarding
« kdy: 17. 06. 2021, 17:54:08 »To je pro borce, kteří denně otevřou desítky SSHček. :-)Není potřeba desítky, stačí dvě :-) Pak také záleží na konfiguraci klientů, jestli se ssh nebo sftp na stejný server se stejným uživatelem připojí k existujícímu spojení, nebo si vytvoří spojení nové (což je u většiny klientů výchozí nastavení).
Ale připouštěl jsem si, že v paměti musí fungovat něco jako izolace alokovaných adres paměti konkrétním procesům.To funguje. Nicméně ssh-agent poskytne službu autentizace (ne privátní klíč) každému procesu, který si o ni řekne (nemá jak poznat hodné procesy od těch zlých).
A co prosím ten forwarding ssh-agenta? Není to náhodou lepší než čpová karta/hw klíč?Forwarding je vhodný tomu, že když se z jednoho stroje hlásíte dál, můžete použít toho agenta, kterého máte u sebe. Tj. nemusíte heslo zadávat na tom prvním vzdáleném počítači, nemusíte tam kopírovat svůj privátní klíč. Pokud by na tom „mezistroji“ byla nějaká škodlivá aplikace, může zneužít ssh-agenta v tu chvíli, kdy jste připojen, ale nezíská váš přístup trvale.
Těžko to porovnávat s čipovou kartou nebo HW klíčem, každé slouží k něčemu jinému. Hardwarová úložiště slouží k tomu, že je prvátní klíč uložen na nich a nikde je neopustí. Takže i kdyby měl útočník kompletní kontrolu nad vaším počítačem, privátní klíč nezíská. ssh-agenta můžete použít s USB tokenem nebo čipovou kartou.