Est-il possible de déterminer les mots de passe des clés privées ajoutées ssh-agent?
Je pense dans le sens de quelqu'un avec des privilèges root essayant de trouver ma phrase secrète après avoir ajouté la clé (donc je ne veux pas dire quelque chose comme le keylogging en tapant le mot de passe).
Réponses:
Non, il ne stocke pas la phrase secrète.
Ce qu'il fait, c'est stocker la clé déverrouillée / décryptée en mémoire afin qu'il puisse l'utiliser pour signer des demandes en fonction des besoins supplémentaires sans inviter l'utilisateur à la déverrouiller à chaque fois. Tant que l'agent exécutant votre session est vulnérable, une personne disposant des autorisations nécessaires (votre utilisateur ou root) accède au socket qui parle à l'agent et utilise les clés chargées dans votre agent pour signer ses propres demandes et ainsi se connecter. tout ce que votre clé privée vous fait entrer.