Se eu scp um arquivo através de um servidor intermediário, o arquivo é armazenado temporariamente no servidor?

Question

Por uma questão de simplicidade (acho mais fácil lembrar nomes do que letras arbitrárias), vou dispensar letras e usar nomes para se referir às máquinas neste cenário.

Digamos que eu tenha duas máquinas, applejack e pinkie-pie , cada uma em suas próprias LANs separadas e não no mesmo local físico. Eu também tenho um servidor, cadance , com uma conexão direta com a Internet. Eu quero copiar um arquivo de applejack para pinkie-pie , assim, para evitar lidar com o encaminhamento de porta e tal, eu configurei um túnel ssh de pinkie-pie para cadance ( ssh -R etc cadance ). Agora posso me conectar a pinkie-pie de qualquer lugar, conectando-se a cadance e especificando uma porta alternativa a ser usada. Também posso copiar facilmente arquivos para pinkie-pie com scp -P $that_port $some_file cadance:$some_path .

Meu entendimento de como isso funciona é o seguinte:

1. Uma conexão segura é feita de applejack a cadance
2. Estou autenticado em cadance
3. Uma conexão segura é feita de applejack a pinkie-pie que abrange o túnel reverso existente e a nova conexão da etapa 1.
4. Estou autenticado em pinkie-pie
5. Os arquivos são copiados diretamente de applejack para pinkie-pie por essa conexão.

Estou correto aqui? Quão segura é essa abordagem?

Se eu estiver errado ... os arquivos serão copiados dessa forma descriptografados em cadance antes de serem passados para pinkie-pie ? Existe a possibilidade de que os rastros de dados não criptografados permaneçam em cadance ?

    

Answer 1

Na verdade, sua compreensão não está completamente correta. Se entendi corretamente, você está fazendo o último comando ( scp -P $that_port $some_file cadance:$some_path ) de applejack . Nesse caso, você não está autenticando em cadance (etapa 2), mas apenas conectando-se ao túnel reverso em pinkie-pie .

A conexão segura vai diretamente de applejack para pinkie-pie ; não há conexão segura entre applejack e cadance (etapa 1). cadance é, em princípio, capaz de ler o texto não criptografado que passa pelo túnel reverso, mas esse texto não criptografado em si é outro canal criptografado, então ele teria que quebrá-lo.

Assim, você tem um canal criptografado de ponta a ponta entre applejack e pinkie-pie , como se você os tivesse conectado diretamente. O túnel reverso serve apenas como uma maneira complicada de rotear o tráfego.

    

Answer 2

Em um túnel de qualquer tipo, haverá retenção temporária de dados, onde os dados podem ser interceptados, mas se o servidor intermediário estiver pegando dados criptografados e enviando-os, não poderá fazer nada com eles. Então, sim, há um ponto em que o intermediário obtém os dados porque senão ele não seria um intermediário.