Skip to content
Vol. 1 · Ed. 2026
CyberGlossary
Deutsch
Entry № 1088

SSH-Agent-Forwarding

Was ist SSH-Agent-Forwarding?

SSH-Agent-ForwardingOpenSSH-Funktion (mit -A oder ForwardAgent yes), die auf dem Remote-Host einen UNIX-Socket bereitstellt, damit Befehle dort den lokalen SSH-Agent fur weitere Hops nutzen konnen.

Mit SSH-Agent-Forwarding kann ein Benutzer ssh-agent lokal betreiben und uber einen Server zum nachsten springen, ohne private Schlussel zu kopieren. Wenn er sich mit ForwardAgent yes verbindet, legt openssh auf dem Remote-Host einen UNIX-Domain-Socket an (Pfad in SSH_AUTH_SOCK), der Signaturanfragen an den lokalen Agent weiterleitet. Das Risiko: Jeder mit Root-Rechten auf dem Remote-Host kann diesen Socket entfuhren und im Namen des Benutzers Signaturen fur beliebige erreichbare Ziele anfordern, bis die Sitzung endet. Hochkaratige Vorfalle (matrix.org 2019, Supply-Chain-Warnungen bei GitHub.com) fuhrten zur Empfehlung, ProxyJump (-J), kurzlebige SSH-Zertifikate oder hardwaregestutzte Schlussel (FIDO ed25519-sk) zu bevorzugen und IdentityAgent oder Agent-Bestatigungsdialoge zu konfigurieren, wenn Forwarding unumganglich ist.

● Beispiele

  1. 01

    Ein Angreifer mit Root auf dem Jump-Host nutzt SSH_AUTH_SOCK, um Authentifizierungen zu Produktionsservern als Benutzer zu signieren.

  2. 02

    ssh -A admin@jump wird durch ssh -J jump admin@target ersetzt, sodass der private Schlussel niemals den Jump-Host erreicht.

● Häufige Fragen

Was ist SSH-Agent-Forwarding?

OpenSSH-Funktion (mit -A oder ForwardAgent yes), die auf dem Remote-Host einen UNIX-Socket bereitstellt, damit Befehle dort den lokalen SSH-Agent fur weitere Hops nutzen konnen. Es gehört zur Kategorie Netzwerksicherheit der Cybersicherheit.

Was bedeutet SSH-Agent-Forwarding?

OpenSSH-Funktion (mit -A oder ForwardAgent yes), die auf dem Remote-Host einen UNIX-Socket bereitstellt, damit Befehle dort den lokalen SSH-Agent fur weitere Hops nutzen konnen.

Wie funktioniert SSH-Agent-Forwarding?

Mit SSH-Agent-Forwarding kann ein Benutzer ssh-agent lokal betreiben und uber einen Server zum nachsten springen, ohne private Schlussel zu kopieren. Wenn er sich mit ForwardAgent yes verbindet, legt openssh auf dem Remote-Host einen UNIX-Domain-Socket an (Pfad in SSH_AUTH_SOCK), der Signaturanfragen an den lokalen Agent weiterleitet. Das Risiko: Jeder mit Root-Rechten auf dem Remote-Host kann diesen Socket entfuhren und im Namen des Benutzers Signaturen fur beliebige erreichbare Ziele anfordern, bis die Sitzung endet. Hochkaratige Vorfalle (matrix.org 2019, Supply-Chain-Warnungen bei GitHub.com) fuhrten zur Empfehlung, ProxyJump (-J), kurzlebige SSH-Zertifikate oder hardwaregestutzte Schlussel (FIDO ed25519-sk) zu bevorzugen und IdentityAgent oder Agent-Bestatigungsdialoge zu konfigurieren, wenn Forwarding unumganglich ist.

Wie schützt man sich gegen SSH-Agent-Forwarding?

Schutzmaßnahmen gegen SSH-Agent-Forwarding kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Welche anderen Bezeichnungen gibt es für SSH-Agent-Forwarding?

Übliche alternative Bezeichnungen: ForwardAgent, ssh -A.

● Verwandte Begriffe