SSH Agent Forwarding на iOS: NeoServer позволяет вашему закрытому ключу надежно храниться на iPhone

Любой, кто хоть раз выполнял git clone на удаленном сервере, сталкивался с одной и той же проблемой: как этой машине пройти аутентификацию на GitHub? Стандартные решения весьма неудачны. Если скопировать закрытый ключ на сервер, то в случае его компрометации все ваши активы подвергаются риску утечки закрытого ключа. Если создавать одноразовые ключи развертывания (deploy key) для каждого репозитория, вы погрязнете в рутине управления ключами. Если же пойти на компромисс и использовать HTTPS с личным токеном доступа (personal access token), этот токен будет храниться в открытом виде в файле .git-credentials на диске.

SSH agent forwarding (перенаправление агента SSH) — это идеальное решение данной проблемы, а NeoServer по-настоящему идеально реализовал его на платформе iOS: ваш закрытый ключ никогда не покидает ваш iPhone, но удаленный сервер может временно «одолжить» его для скачивания кода, отправки коммитов или перехода на следующий хост.

Как работает SSH Agent Forwarding на практике

SSH agent — это процесс, хранящий расшифрованные закрытые ключи в памяти и отвечающий на запросы аутентификации от вашего имени. Перенаправление агента (параметр -A в OpenSSH CLI) расширяет эту функцию на разнесенные подключения: когда вы подключаетесь с iPhone к серверу по SSH с включенным перенаправлением, сервер получает сокет, который перенаправляет запросы аутентификации обратно агенту на вашем телефоне.

На практике это выглядит так:

На удаленном сервере выполнение git clone [email protected]:you/private-repo.git просто работает — запрос аутентификации GitHub будет обработан ключом, хранящимся на вашем iPhone.
Выполнение ssh production-db.internal с бастионного хоста (bastion) также сработает, причем на самом бастионе вообще не нужно хранить никаких ключей.
Сам закрытый ключ никогда не появляется на удаленном сервере. Он отсутствует на диске и в памяти (за исключением перенаправленных запросов аутентификации). Даже если этот сервер будет взломан завтра, злоумышленник не найдет никаких ключей для кражи.

Почему это особенно важно на iOS

На ноутбуке вы можете использовать ssh-agent, ~/.ssh/config и мышечную память, наработанную годами. Но на телефоне большинство SSH-приложений либо вообще не поддерживают перенаправление агента, либо реализуют это настолько неудобно, что людей вынуждают идти на небезопасные компромиссы, такие как вставка ключей прямо в терминал или сохранение токенов в файлах. NeoServer воспринимает перенаправление агента как основную функцию, а не запоздалую заплатку:

Загрузите закрытый ключ в NeoServer всего один раз. Он хранится в зашифрованном виде локально на устройстве и защищен с помощью Face ID / Touch ID.
Включайте перенаправление агента для каждого подключения индивидуально. Когда вы устанавливаете соединение, NeoServer перенаправляет свой встроенный агент в удаленный сеанс.
Используйте git, scp и ssh на удаленном сервере так же, как на ноутбуке — перенаправленные учетные данные прозрачно реагируют на все запросы аутентификации.

Типичный сеанс: клонирование приватного репозитория с удаленной машины для разработки

Именно для такого рабочего процесса и был изначально разработан механизм перенаправления агента.

На iPhone с помощью NeoServer включите agent forwarding и подключитесь к своему серверу для разработки по SSH.
На этом сервере выполните git clone [email protected]:yourorg/infra.git. GitHub инициирует запрос аутентификации; этот запрос перенаправляется ключу на вашем iPhone и автоматически обрабатывается.
Клонирование репозитория завершено. На протяжении всего процесса ваш закрытый ключ, пароль GitHub или личный токен доступа никогда не записывались на сервер для разработки.

Тот же принцип применим к git pull, git push, обмену данными с приватными репозиториями по SSH и переходу на второй сервер. Данные аутентификации с одного телефона подключаются к бесчисленному множеству серверов с нулевым копированием ключей.

Цепочки хостов: от бастиона к внутренней сети

Перенаправление агента поддерживает объединение в цепочки. Включите перенаправление при подключении к бастиону, а затем подключитесь от бастиона к внутреннему хосту — аутентификация на внутреннем хосте все равно будет выполняться ключом с вашего телефона. Вы получаете безопасность, предоставляемую бастионом (внутренние хосты не доступны напрямую извне), и при этом избавляетесь от необходимости предварительно настраивать учетные данные на бастионе, как это обычно бывает. NeoServer также поддерживает конфигурацию Jump Server (сервер-переходник), поэтому сам процесс «прыжка через бастион» может быть сохранен как единая конфигурация подключения.

В сочетании с Mosh и tmux для создания по-настоящему мобильного рабочего процесса

Перенаправление агента заботится о безопасности учетных данных; другие функции NeoServer отвечают за стабильность подключения:

Mosh сохраняет сеанс активным при переключении сетей, поэтому перемещающийся iPhone не разорвет перенаправленный канал.
tmux / zellij гарантируют, что ваша оболочка продолжит работать на стороне сервера. Длительные операции git clone или развертывания продолжат выполняться, даже если телефон в вашем кармане перейдет в спящий режим.
SFTP позволяет просматривать и редактировать только что скачанные файлы прямо в приложении с подсветкой синтаксиса и без необходимости переключаться между приложениями.

Важные предупреждения по безопасности

Перенаправление агента — мощный инструмент, но вместе с большой мощью приходит одно железное правило: включайте эту функцию только для серверов, которым вы доверяете. Пока ваш сеанс открыт, скомпрометированный сервер с включенным перенаправлением может запросить ваш агент на аутентификацию на других хостах. Именно по этой причине NeoServer реализует эту функцию в виде независимого переключателя для каждого подключения — используйте ее на своем собственном сервере для разработки и отключайте на общих или ненадежных хостах.
Ваш закрытый ключ хранится локально на iPhone и синхронизируется только через вашу личную учетную запись iCloud. NeoServer не содержит сторонней аналитики или рекламных сетей, а само приложение защищено блокировкой Face ID / Touch ID.
В сочетании с 2FA (двухфакторной аутентификацией) и аутентификацией по закрытому ключу, перенаправление агента формирует многоуровневую систему защиты: то, чем вы владеете (ключ на телефоне), возможность, которую сервер может временно позаимствовать (перенаправленный агент), и дополнительный фактор проверки при подключении.

Для кого это предназначено

Разработчикам, которым необходимо загружать приватные репозитории на удаленные рабочие машины и CI-серверы.
Инженерам эксплуатации, которым нужен переход на внутренние хосты через бастион.
Всем, кого когда-либо искушала мысль передать закрытый ключ через scp «только в этот раз».
Командам, желающим добиться «нулевого следа ключей» на общей инфраструктуре.

Если в прошлом при прохождении аутентификации с удаленного сервера вам всегда приходилось идти на компромисс между безопасностью и удобством, то SSH agent forwarding полностью устраняет эту необходимость — а NeoServer позволяет делать все это прямо на вашем iPhone. Найдите NeoServer в App Store или скачайте его напрямую из App Store.