Проброс SSH-агента на iOS: NeoServer хранит ваши приватные ключи на iPhone

Любой, кто хоть раз запускал git clone на удаленном сервере, сталкивался с одним и тем же вопросом: как эта машина аутентифицируется в GitHub? Стандартные ответы на него — сплошное компромиссное удовольствие. Если скопировать приватный ключ на сервер, то единичный взлом этого хоста приведет к утечке ключа от всех ваших систем. Создавать одноразовый разверточный ключ (deploy key) для каждого репозитория — значит утонуть в управлении ключами. Если вернуться к HTTPS с использованием персонального токена доступа (PAT), этот токен будет лежать в файле .git-credentials на диске.

Проброс SSH-агента (SSH agent forwarding) — это изящное решение, и NeoServer реализует его на iOS как надо: ваш приватный ключ никогда не покидает ваш iPhone, но удаленный сервер может на короткое время «одолжить» его, чтобы стянуть код, отправить коммиты или перейти на следующий хост.

Что на самом деле делает проброс SSH-агента

SSH-агент — это процесс, который хранит ваши расшифрованные приватные ключи в памяти и отвечает на запросы аутентификации от вашего имени. Проброс агента (флаг -A в CLI OpenSSH) расширяет это действие на все соединение: когда вы подключаетесь по SSH с вашего iPhone к серверу с включенным форвардингом, сервер получает сокет, который проксирует запросы на аутентификацию обратно к агенту на вашем телефоне.

Практический эффект:

На удаленном сервере команда git clone [email protected]:you/private-repo.git просто работает — запрос на аутентификацию GitHub удовлетворяется ключом, который живет на вашем iPhone.
Команда ssh production-db.internal, запущенная с бастионного хоста, тоже сработает, при этом на самом бастионе не будет храниться вообще никакого ключа.
Сам приватный ключ физически никогда не существует на удаленном сервере. Ни на диске, ни в памяти (за пределами проброшенного запроса). Если завтра сервер скомпрометируют, злоумышленник не найдет ключа, который можно украсть.

Почему это особенно важно для iOS

На ноутбуке в вашем распоряжении есть ssh-agent, ~/.ssh/config и годы мышечной памяти. На телефоне же большинство SSH-приложений либо вообще не поддерживают проброс агента, либо делают этот процесс крайне неудобным. Это заставляет людей идти на риск: вставлять ключи прямо в терминал или сохранять токены в файлы. NeoServer относится к пробросу агента как к функции первого класса, а не как к запоздалой мысли:

Загрузите ваш приватный ключ в NeoServer один раз. Он будет храниться в зашифрованном виде на устройстве, под защитой Face ID / Touch ID.
Включайте проброс агента для каждого соединения индивидуально. При подключении NeoServer пробрасывает свой встроенный агент в удаленную сессию.
Используйте git, scp и ssh на удаленном сервере точно так же, как на ноутбуке — проброшенные учетные данные прозрачно отвечают на все запросы аутентификации.

Типичная сессия: клонирование приватного репозитория с удаленной машины для разработки

Именно для такого рабочего процесса и был создан проброс агента.

Из NeoServer на вашем iPhone подключитесь по SSH к вашему серверу разработки с включенным пробросом агента.
На этом сервере выполните git clone [email protected]:yourorg/infra.git. GitHub запросит аутентификацию; запрос будет перенаправлен обратно к ключу на вашем iPhone и автоматически удовлетворен.
Репозиторий клонируется. При этом ваш приватный ключ, пароль от GitHub или персональный токен доступа ни на каком этапе не сохранялись на сервере разработки.

Тот же трюк работает для git pull, git push, обращения к приватному реестру по SSH и цепочки подключений ко второму серверу. Одна личность на вашем телефоне, множество серверов и ноль копий ключей.

Цепочки хостов: от бастиона к внутренней сети

Проброс агента отлично компонуется. Подключитесь к бастиону с включенным форвардингом, а затем из бастиона к внутреннему хосту — аутентификация внутреннего хоста все равно будет обработана ключом на вашем телефоне. Вы получаете уровень безопасности бастиона (без прямого раскрытия внутренних хостов) без стандартной платы в виде необходимости разворачивать учетные данные на самом бастионе. NeoServer также поддерживает конфигурацию Jump Server (прыжкового сервера), поэтому сам переход через бастион можно оформить в виде одного сохраненного подключения.

Используйте в связке с Mosh и tmux для полноценной мобильной работы

Проброс агента решает вопрос учетных данных; остальной функционал NeoServer обеспечивает надежность соединения:

Mosh поддерживает сессию активной при переключении между сетями, поэтому перемещающийся iPhone не разрывает проброшенный канал.
tmux / zellij удерживают ваши оболочки запущенными на стороне сервера. Длительный git clone или процесс развертывания не прервется, даже если телефон уснет у вас в кармане.
SFTP позволяет просматривать и редактировать только что клонированные файлы с подсветкой синтаксиса, не выходя из приложения.

Важные замечания о безопасности

Проброс агента — мощный инструмент, а с большой силой приходит правило: включайте его только на тех серверах, которым доверяете. Скомпрометированный сервер с включенным форвардингом может, пока ваша сессия активна, запросить ваш агент для аутентификации на других хостах. Именно поэтому в NeoServer этот механизм реализован в виде переключателя для каждого отдельного подключения — используйте его на своей машине для разработки и отключайте на общедоступных или ненадежных хостах.
Ваши приватные ключи хранятся локально на iPhone и синхронизируются только через вашу личную учетную запись iCloud. В NeoServer нет сторонней аналитики или рекламных сетей, а доступ к приложению блокируется с помощью Face ID / Touch ID.
В сочетании с 2FA и аутентификацией по приватному ключу, проброс агента становится частью многоуровневой защиты: то, чем вы владеете (ключ на телефоне), то, что сервер может на время позаимствовать (проброшенный агент), и дополнительный фактор при подключении.

Кому это нужно

Разработчикам, которые подтягивают приватные репозитории на удаленных машинах для разработки и CI-серверах
Инженерам эксплуатации (Ops), проходящим через бастионы к внутренним хостам
Всем, кого когда-либо诱惑ался соблазном сделать scp приватного ключа «только в этот раз»
Командам, которые хотят, чтобы на общей инфраструкте не было вообще никаких ключей

Если вам до сих пор приходилось выбирать между безопасностью и удобством при аутентификации с удаленного сервера, проброс SSH-агента снимает необходимость идти на компромисс — а NeoServer позволяет сделать это прямо с вашего iPhone. Найдите NeoServer в App Store или скачайте его по ссылке: App Store.