Google បានបោះពុម្ពផ្សាយ HIBA ដែលជាកម្មវិធីបន្ថែម OpenSSH សម្រាប់ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវផ្អែកលើវិញ្ញាបនបត្រ

Google បានចេញផ្សាយកូដប្រភពនៃគម្រោង HIBA (Host Identity Based Authorization) ដែលស្នើឱ្យអនុវត្តយន្តការអនុញ្ញាតបន្ថែមសម្រាប់រៀបចំការចូលប្រើរបស់អ្នកប្រើប្រាស់តាមរយៈ SSH ទាក់ទងនឹងម៉ាស៊ីន (ពិនិត្យមើលថាតើការចូលប្រើធនធានជាក់លាក់ត្រូវបានអនុញ្ញាតឬអត់ នៅពេលផ្ទៀងផ្ទាត់ ដោយប្រើសោសាធារណៈ) ។ ការរួមបញ្ចូលជាមួយ OpenSSH ត្រូវបានផ្តល់ដោយបញ្ជាក់អ្នកដោះស្រាយ HIBA នៅក្នុងការណែនាំ AuthorizedPrincipalsCommand នៅក្នុង /etc/ssh/sshd_config ។ លេខកូដគម្រោងត្រូវបានសរសេរជា C និងចែកចាយក្រោមអាជ្ញាប័ណ្ណ BSD ។

HIBA ប្រើយន្តការផ្ទៀងផ្ទាត់ស្តង់ដារដោយផ្អែកលើវិញ្ញាបនបត្រ OpenSSH សម្រាប់ការគ្រប់គ្រងដែលអាចបត់បែនបាន និងជាកណ្តាលនៃការអនុញ្ញាតរបស់អ្នកប្រើប្រាស់ទាក់ទងនឹងម៉ាស៊ីន ប៉ុន្តែមិនតម្រូវឱ្យមានការផ្លាស់ប្តូរតាមកាលកំណត់ចំពោះឯកសារ authorized_keys និង authorized_users នៅផ្នែកម្ខាងនៃម៉ាស៊ីនដែលការតភ្ជាប់ត្រូវបានធ្វើឡើងនោះទេ។ ជំនួសឱ្យការរក្សាទុកបញ្ជីនៃសោសាធារណៈដែលមានសុពលភាព និងលក្ខខណ្ឌចូលប្រើក្នុងឯកសារ authorized_(keys|users) HIBA រួមបញ្ចូលព័ត៌មានអំពីការភ្ជាប់ម៉ាស៊ីនអ្នកប្រើប្រាស់ដោយផ្ទាល់ទៅក្នុងវិញ្ញាបនបត្រដោយខ្លួនឯង។ ជាពិសេស ផ្នែកបន្ថែមត្រូវបានស្នើឡើងសម្រាប់វិញ្ញាបនបត្រម៉ាស៊ីន និងវិញ្ញាបនបត្រអ្នកប្រើប្រាស់ ដែលរក្សាទុកប៉ារ៉ាម៉ែត្រម៉ាស៊ីន និងលក្ខខណ្ឌសម្រាប់ការផ្តល់សិទ្ធិចូលប្រើរបស់អ្នកប្រើប្រាស់។

ការត្រួតពិនិត្យផ្នែកខាងម៉ាស៊ីនត្រូវបានផ្តួចផ្តើមដោយការហៅទូរស័ព្ទទៅអ្នកដោះស្រាយ hiba-chk ដែលបានបញ្ជាក់នៅក្នុងការណែនាំរបស់ AuthorizedPrincipalsCommand ។ ខួរក្បាលនេះឌិកូដផ្នែកបន្ថែមដែលរួមបញ្ចូលទៅក្នុងវិញ្ញាបនបត្រ ហើយផ្អែកលើពួកវា ធ្វើការសម្រេចចិត្តអំពីការផ្ដល់ ឬទប់ស្កាត់ការចូលប្រើប្រាស់។ ច្បាប់នៃការចូលប្រើត្រូវបានកំណត់ជាកណ្តាលនៅកម្រិតអាជ្ញាធរបញ្ជាក់ (CA) ហើយត្រូវបានដាក់បញ្ចូលទៅក្នុងវិញ្ញាបនបត្រនៅដំណាក់កាលនៃជំនាន់របស់ពួកគេ។

នៅផ្នែកម្ខាងនៃមជ្ឈមណ្ឌលវិញ្ញាបនប័ត្រ បញ្ជីទូទៅនៃអំណាចដែលមានត្រូវបានរក្សាទុក (ម៉ាស៊ីនដែលការតភ្ជាប់ត្រូវបានអនុញ្ញាត) និងបញ្ជីអ្នកប្រើប្រាស់ដែលត្រូវបានអនុញ្ញាតឱ្យប្រើអំណាចទាំងនេះ។ ដើម្បីបង្កើតវិញ្ញាបនបត្រដែលមានការបញ្ជាក់ជាមួយនឹងព័ត៌មានរួមបញ្ចូលគ្នាអំពីព័ត៌មានសម្ងាត់ ឧបករណ៍ប្រើប្រាស់ hiba-gen ត្រូវបានស្នើឡើង ហើយមុខងារចាំបាច់ដើម្បីបង្កើតសិទ្ធិអំណាចវិញ្ញាបនប័ត្រត្រូវបានរួមបញ្ចូលនៅក្នុងស្គ្រីប iba-ca.sh ។

នៅពេលដែលអ្នកប្រើប្រាស់ភ្ជាប់ អាជ្ញាធរដែលបានបញ្ជាក់នៅក្នុងវិញ្ញាបនបត្រត្រូវបានបញ្ជាក់ដោយហត្ថលេខាឌីជីថលរបស់អាជ្ញាធរបញ្ជាក់ ដែលអនុញ្ញាតឱ្យការត្រួតពិនិត្យទាំងអស់ត្រូវបានអនុវត្តទាំងស្រុងនៅផ្នែកម្ខាងនៃម៉ាស៊ីនគោលដៅដែលការតភ្ជាប់ត្រូវបានធ្វើឡើង ដោយមិនងាកទៅរកសេវាកម្មខាងក្រៅ។ បញ្ជីនៃសោសាធារណៈរបស់អាជ្ញាធរបញ្ជាក់ដែលបញ្ជាក់វិញ្ញាបនបត្រ SSH ត្រូវបានបញ្ជាក់តាមរយៈការណែនាំ TrustedUserCAKeys ។

បន្ថែមពីលើការភ្ជាប់អ្នកប្រើប្រាស់ដោយផ្ទាល់ទៅម៉ាស៊ីន HIBA អនុញ្ញាតឱ្យអ្នកកំណត់ច្បាប់ចូលប្រើដែលអាចបត់បែនបានកាន់តែច្រើន។ ឧទាហរណ៍ ព័ត៌មានដូចជាទីតាំង និងប្រភេទសេវាកម្មអាចត្រូវបានភ្ជាប់ជាមួយម៉ាស៊ីន ហើយនៅពេលកំណត់ច្បាប់នៃការចូលប្រើរបស់អ្នកប្រើប្រាស់ ការតភ្ជាប់អាចត្រូវបានអនុញ្ញាតចំពោះម៉ាស៊ីនទាំងអស់ដែលមានប្រភេទសេវាកម្មដែលបានផ្តល់ឱ្យ ឬទៅម៉ាស៊ីននៅក្នុងទីតាំងជាក់លាក់មួយ។

ប្រភព: opennet.ru