🌋 🍖 😷 SSH एजेंट के बारे में 👴🏼 👶 🏜️

परिचय

SSH- एजेंट OpenSSH का हिस्सा है। इस पोस्ट में मैं बताऊंगा कि एक एजेंट क्या है, इसका उपयोग कैसे करें और यह आपकी चाबियों को सुरक्षित रखने के लिए कैसे काम करता है। मैं एजेंट अग्रेषण और यह कैसे काम करता है का वर्णन करेगा। मैं आपको एजेंट अग्रेषण का उपयोग करने के जोखिम को कम करने में मदद करूंगा और एजेंट अग्रेषण का एक विकल्प साझा करूंगा जो आप अपने आंतरिक होस्टों को गढ़ों के माध्यम से एक्सेस करते समय उपयोग कर सकते हैं।

SSH एजेंट क्या है

ssh-agentSSH के लिए एक प्रमुख प्रबंधक है। यह आपकी कुंजियों और प्रमाणपत्रों को मेमोरी में स्टोर करता है, अनएन्क्रिप्टेड और उपयोग के लिए तैयार है ssh। यह सर्वर से कनेक्ट होने पर हर बार पासवर्ड दर्ज करने की आवश्यकता को समाप्त करता है। यह आपके सिस्टम के बैकग्राउंड में चलता है, जिससे अलग होता है ssh, और आमतौर पर पहली शुरुआत होती है ssh।

SSH एजेंट गुप्त कुंजी को सुरक्षित रखता है क्योंकि यह नहीं है :

यह डिस्क पर कोई महत्वपूर्ण जानकारी नहीं लिखता है।
यह आपको अपनी निजी कुंजी निर्यात करने की अनुमति नहीं देता है।

एजेंट में संग्रहीत गुप्त कुंजी का उपयोग केवल एक उद्देश्य के लिए किया जा सकता है: एक संदेश पर हस्ताक्षर करना।

लेकिन अगर कोई एजेंट केवल संदेशों पर हस्ताक्षर कर सकता है, तो SSH ट्रैफ़िक को कैसे एन्क्रिप्ट और डिक्रिप्ट करता है?

एसएसएच सार्वजनिक और निजी कुंजी के पहले अध्ययन में, यह मानना स्वाभाविक है कि एसएसएच इन कुंजी जोड़े का उपयोग यातायात को एन्क्रिप्ट और डिक्रिप्ट करने के लिए करता है। जैसा मैंने सोचा था वैसा ही हुआ। पर ये स्थिति नहीं है। प्रारंभिक कनेक्शन के दौरान प्रमाणीकरण के लिए SSH कुंजी जोड़ी का उपयोग किया जाता है।

उदाहरण के लिए, यहाँ एक SSH कनेक्शन के दौरान एक उपयोगकर्ता कुंजी को सर्वर के नजरिए से कैसे सत्यापित किया जाए:

क्लाइंट सर्वर को एक सार्वजनिक कुंजी प्रदान करता है।
सर्वर उत्पन्न करता है और एक छोटा यादृच्छिक संदेश भेजता है जिससे ग्राहक निजी कुंजी का उपयोग करके उस पर हस्ताक्षर कर सकता है।
क्लाइंट SSH एजेंट को संदेश पर हस्ताक्षर करने के लिए कहता है और परिणाम को सर्वर पर वापस भेजता है।
सर्वर ग्राहक की सार्वजनिक कुंजी का उपयोग करके हस्ताक्षर की पुष्टि करता है।
अब सर्वर के पास सबूत है कि ग्राहक निजी कुंजी का मालिक है।

बाद में, कनेक्शन की प्रक्रिया के दौरान, नए, अल्पकालिक और सममित कुंजी का एक सेट उत्पन्न होता है, जिसका उपयोग SSPII यातायात को एन्क्रिप्ट करने के लिए किया जाता है। ये कुंजी पूरे सत्र तक भी नहीं चल सकती हैं; नियमित अंतराल पर रेकी की घटना होती है।

एजेंट प्रोटोकॉल

SSH एजेंट प्रोटोकॉल पर एजेंट के साथ संवाद करने के लिए SSH एक यूनिक्स डोमेन सॉकेट का उपयोग करता है । ज्यादातर लोग ssh-agentओपनएसएसएच के साथ आने वाले का उपयोग करते हैं , लेकिन कई ओपन सोर्स विकल्प हैं।

एजेंट प्रोटोकॉल इतना सरल है कि आप एक या दो दिन में मूल SSH- एजेंट लिख सकते हैं। इसके कुछ ही बुनियादी ऑपरेशन हैं:

एक नियमित कुंजी जोड़ी जोड़ें (सार्वजनिक और डिक्रिप्ट की गई निजी कुंजी)
एक सीमित कुंजी जोड़ी जोड़ें (सार्वजनिक और डिक्रिप्ट की गई निजी कुंजी)
स्मार्ट कार्ड से कुंजी (नियमित या सीमित) जोड़ें (केवल सार्वजनिक कुंजी)
कुंजी हटाएँ
लिस्टिंग कुंजी एजेंट में संग्रहीत
एजेंट में संग्रहीत कुंजी के साथ एक संदेश पर हस्ताक्षर करना
एक पासवर्ड के साथ पूरे एजेंट को लॉक या अनलॉक करें

एक सीमित कुंजी क्या है? यह आमतौर पर एक कुंजी है जिसका या तो सीमित जीवन है या इसका उपयोग करते समय उपयोगकर्ता द्वारा स्पष्ट पुष्टि की आवश्यकता होती है।

कमांड ssh-addआपके एसएसएच एजेंट का प्रवेश द्वार है। वह हस्ताक्षर के अलावा इन सभी कार्यों को करता है। जब आप किसी पैरामीटर के बिना ssh-add चलाते हैं, तो यह आपके होम डायरेक्टरी को कुछ मानक कुंजियों के लिए स्कैन करेगा और उन्हें आपके एजेंट में जोड़ देगा। डिफ़ॉल्ट रूप से, यह खोज करता है:

~/.ssh/id_rsa
~/.ssh/id_ed25519
~/.ssh/id_dsa
~/.ssh/id_ecdsa

जैसे ही आप कीचेन की चाबी जोड़ते हैं, वे स्वचालित रूप से उपयोग हो जाएंगे ssh।

ssh-और macOS चाबी का गुच्छा के
ssh-agent साथ भेज दिया, macOS चाबी का गुच्छा में कुंजी के लिए पासफ़्रेज़ स्टोर कर सकता है, जो रिबूट के बाद एजेंट को फिर से जोड़ना आसान बनाता है। आपकी किचेन सेटिंग्स के आधार पर, आपको रिबूट के बाद भी इसे अनलॉक करने की आवश्यकता हो सकती है। किचेन में मुख्य पासफ्रेज को बचाने के लिए, कमांड को रन करें ssh-add -K [ ]। पासफ़्रेज़ आमतौर पर "स्थानीय आइटम" में संग्रहीत किए जाते हैं। ssh-agentआवश्यकतानुसार इन सहेजे गए पासफ़्रेज़ों का उपयोग करेगा।

एजेंट फॉरवर्डिंग क्या है

एजेंट अग्रेषण सुविधा आपके स्थानीय SSH एजेंट को मौजूदा SSH कनेक्शन के माध्यम से संवाद करने और पारदर्शी रूप से अधिक दूरस्थ सर्वर को प्रमाणित करने की अनुमति देती है। उदाहरण के लिए, मान लें कि आप SSH के माध्यम से EC2 में लॉग इन करते हैं और वहां से एक निजी GitHub रिपॉजिटरी को क्लोन करना चाहते हैं। एजेंट अग्रेषण के बिना, आपको EC2 होस्ट पर अपनी GitHub निजी कुंजी की एक प्रति संग्रहीत करनी होगी। जब एजेंट पुनर्निर्देशित किया जा रहा है, तो EC2 पर SSH क्लाइंट आपके स्थानीय कंप्यूटर पर GitHub पर प्रमाणीकरण के लिए कुंजियों का उपयोग कर सकता है।

एजेंट अग्रेषण कैसे काम करता है

सबसे पहले, थोड़ा पृष्ठभूमि। SSH कनेक्शन में कई चैनल हो सकते हैं। यहां एक सामान्य उदाहरण है: एक चैनल पर गढ़-मेजबान (जंप बॉक्स) के लिए एक इंटरैक्टिव कनेक्शन किया जाता है। जब एजेंट अग्रेषण कनेक्शन के लिए सक्षम होता है (आमतौर पर उपयोग करते हुए ssh -A), तो आपके स्थानीय कंप्यूटर पर किसी भी एजेंट के अनुरोध को अग्रेषित करने के लिए पृष्ठभूमि में एक दूसरा चैनल खुलता है।

के संदर्भ में ssh, दूरस्थ और स्थानीय के बीच कोई अंतर नहीं है ssh-agent। SSH हमेशा $SSH_AUTH_SOCKएजेंट के लिए यूनिक्स डोमेन सॉकेट खोजने के लिए पर्यावरण चर को देखता है । एजेंट फ़ॉरवर्डिंग सक्षम के साथ एक दूरस्थ होस्ट से कनेक्ट करते समय, SSHD एक दूरस्थ यूनिक्स डोमेन सॉकेट बनाएगा जो एजेंट फ़ॉरवर्डिंग चैनल के साथ जुड़ा हुआ है और $SSH_AUTH_SOCKउस बिंदु को निर्यात करता है।

एजेंट अग्रेषण एक निश्चित जोखिम के साथ जुड़ा हुआ है

जब आप एक ssh-agentयूनिक्स डोमेन सॉकेट को दूरस्थ होस्ट पर पुनर्निर्देशित करते हैं, तो इससे सुरक्षा खतरा पैदा होता है: रिमोट होस्ट पर रूट एक्सेस वाला कोई भी व्यक्ति अपने स्थानीय एसएसएच-एजेंट को सॉकेट के माध्यम से आसानी से एक्सेस कर सकता है। वे नेटवर्क पर अन्य मशीनों पर आपका उपयोग करने के लिए आपकी चाबियों का उपयोग कर सकते हैं।

यहाँ एक उदाहरण है कि यह कैसे दिख सकता है:

एजेंट अग्रेषण के साथ अपने जोखिम को कैसे कम करें

एजेंट को पुनर्निर्देशन को अधिक सुरक्षित बनाने के कुछ तरीके यहां दिए गए हैं:

ForwardAgentडिफ़ॉल्ट रूप से सक्षम न करें ।

जब आप एजेंट अग्रेषण का उपयोग करते हैं तो अपने ssh एजेंट को ब्लॉक करें। ssh-add -xएक पासवर्ड के साथ एजेंट को ब्लॉक करता है, और ssh-add -Xइसे अनलॉक करता है। जब आप एजेंट अग्रेषण के साथ एक दूरस्थ होस्ट से जुड़े होते हैं, तो कोई भी आपके एजेंट को पासवर्ड के बिना दर्ज नहीं कर सकता है।

या एक वैकल्पिक एसएसएच एजेंट का उपयोग करें जो आपसे पूछता है कि यह कब उपयोग में है। मैकबुक प्रो सिक्योरिटी एन्क्लेव में की को स्टोर करने के लिए सीक मैकओएस पर टच आईडी का उपयोग करता है।

या एजेंट अग्रेषण का उपयोग बिल्कुल न करें। यदि आप गढ़ के माध्यम से आंतरिक मेजबानों तक पहुंचने की कोशिश कर रहे हैं, तो ProxyJumpइस उपयोग के मामले के लिए बहुत अधिक सुरक्षित विकल्प है। (निचे देखो)

उपयोग `ProxyJump`: एक सुरक्षित विकल्प

जब आप गढ़-मेज़बान (जंपबॉक्स) से गुजरना चाहते हैं, तो आपको वास्तव में एजेंट'ए फॉरवर्ड करने की आवश्यकता नहीं है। सबसे अच्छा तरीका निर्देश का उपयोग करना है ProxyJump।

एक अलग चैनल के माध्यम से एजेंट को पुनर्निर्देशित करने के बजाय, यह ProxyJumpआपके स्थानीय एसएसएच क्लाइंट के मानक इनपुट और आउटपुट को गढ़ के माध्यम से और आगे के दूरस्थ होस्ट पर पुनर्निर्देशित करता है। यहां देखिए यह कैसे काम करता है:

अपने गढ़ मेजबान के माध्यम ssh -J bastion.example.com cloud.computer.internalसे कनेक्ट करने के लिए चलाएँ । होस्ट नाम है जो DNS को खोजकर पाया जा सकता है ।cloud.computer.internalbastion.example.comcloud.computer.internalbastion.example.com
आपका SSH क्लाइंट कनेक्ट करने के लिए आपके एजेंट से कुंजियों का उपयोग करता है bastion.example.com।
SSHD को गढ़ से जोड़ने के बाद, यह cloud.computer.internalआपके स्थानीय SSH क्लाइंट से इस कनेक्शन को जोड़ता है और स्थानांतरित करता है।
आपका स्थानीय SSH क्लाइंट इस बार फिर से कनेक्शन के माध्यम से जाता है cloud.computer.internal

आप इसे एसएसएच सत्र में एसएसएच के रूप में सोच सकते हैं; सिवाय इसके कि ssh कभी भी गढ़ पर नहीं चलता। इसके बजाय, यह sshdसे कनेक्ट करता है cloud.computer.internalऔर इस संबंध (मानक इनपुट और आउटपुट) आपके स्थानीय SSH, जो तब एक दूसरे कनेक्शन बनाता है के लिए वापस की नियंत्रण देता है।

ProxyJump को कॉन्फ़िगर करना

मान लीजिए कि यह गढ़-मेजबान है bastion.example.com। मैं ~/.ssh/configइस तरह से कॉन्फ़िगर कर सकता हूं :

Host bastion.example.com
	User carl

Host *.computer.internal
	ProxyJump bastion.example.com
	User carl

फिर मैं बस ssh cloud.computer.internalगढ़ के माध्यम से आंतरिक गंतव्य से जुड़ने के लिए दौड़ता हूं - बिना एजेंट अग्रेषण के।

अगर ProxyJump काम नहीं करता है ...

SSH और SSHD के पुराने संस्करण (संस्करण 7.2 से पहले, 2016 में जारी) समर्थन नहीं करते हैं ProxyJump। लेकिन आप का उपयोग कर एक बराबर आपरेशन प्रदर्शन कर सकते हैं ProxyCommandऔर netcat । यहाँ एक उदाहरण है:

ssh -o ProxyCommand="ssh bastion.example.com nc %h %p" cloud.computer.internal

यहाँ जादू यह है कि SSH स्वयं प्रॉक्सी सर्वर है जो आप SSH के लिए उपयोग करते हैं। यह हिस्सा nc %h %pकेवल कच्चे सॉकेट कनेक्शन को cloud.computer.internalपोर्ट 22 पर खोलता है । पैरेंट ssh कमांड का मानक इनपुट / आउटपुट सीधे पास किया जाता है ProxyCommandताकि पैरेंट ssh प्रॉक्सी कनेक्शन के माध्यम से आंतरिक होस्ट को प्रमाणित कर सके।

स्किलफैक्ट ऑनलाइन कोर्स करके स्किल्स और सैलरी में स्क्रेच या लेवल अप से मांगे गए प्रोफेशन को कैसे प्राप्त करें, इसका विवरण जानें:

SSH एजेंट के बारे में

परिचय

SSH एजेंट क्या है

एजेंट प्रोटोकॉल

एजेंट फॉरवर्डिंग क्या है

एजेंट अग्रेषण कैसे काम करता है

एजेंट अग्रेषण एक निश्चित जोखिम के साथ जुड़ा हुआ है

एजेंट अग्रेषण के साथ अपने जोखिम को कैसे कम करें

उपयोग `ProxyJump`: एक सुरक्षित विकल्प

अधिक पढ़ें

More articles:

SSH एजेंट के बारे में

परिचय

SSH एजेंट क्या है

एजेंट प्रोटोकॉल

एजेंट फॉरवर्डिंग क्या है

एजेंट अग्रेषण कैसे काम करता है

एजेंट अग्रेषण एक निश्चित जोखिम के साथ जुड़ा हुआ है

एजेंट अग्रेषण के साथ अपने जोखिम को कैसे कम करें

उपयोग ProxyJump: एक सुरक्षित विकल्प

अधिक पढ़ें

More articles:

उपयोग `ProxyJump`: एक सुरक्षित विकल्प