Как агент участвует во входе по SSH

ssh-agent не создает ключ и изначально не содержит приватных идентичностей. Их добавляют через ssh-add или настройки OpenSSH. Клиент ssh запрашивает у агента подпись для аутентификации; закрытый ключ и его парольная фраза не передаются удаленному серверу.

Переменные SSH_AUTH_SOCK и SSH_AGENT_PID помогают клиентским программам найти сокет и процесс агента. Сокет доступен локальному пользователю, но учетная запись с теми же правами или root может злоупотребить доступом к нему. Поэтому на общем компьютере не оставляйте загруженные ключи без необходимости.

Что меняется при agent forwarding

Переадресация дает удаленному компьютеру возможность обращаться к вашему локальному агенту через SSH-соединение. Сам приватный ключ по сети не уходит, однако пользователь с доступом к forwarded socket может просить агента выполнять операции аутентификации с загруженными ключами. Компрометация удаленной учетной записи поэтому создает риск использования идентичности, пока пересылка активна.

OpenBSD рекомендует включать agent forwarding с осторожностью. Для ключей можно задавать срок действия через ssh-add; это ограничивает период, в течение которого агент готов использовать идентичность. Не нужна пересылка? Отключите ее.

Что агент не делает

ssh-agent не заменяет sshd на сервере, не решает кто имеет доступ и не восстанавливает утерянный ключ. Он не шифрует подключение сам по себе: транспорт обеспечивает SSH. Если парольная фраза хранится только в агенте, сам файл приватного ключа все равно нужно защищать и резервировать по правилам владельца.

Смотрите SSH, Ed25519 и настройку SSH на VPS. Использованы текущие руководства OpenBSD по ssh-agent, ssh-add и ForwardAgent, проверенные 8 октября 2026 года; ключи и SSH-сессии не создавались и не менялись.