VSCodes SSH-Agent ist der Wahnsinn
VSCode's SSH Agent Is Bananas
Thomas Ptacek von Fly.io vergleicht VSCodes Remote-SSH-Ansatz mit Emacs' Tramp. Während Tramp schlank auf dem Remote-System arbeitet, startet VSCode eine Bash-Snippet-Stager, der einen Agenten samt Node-Binary nachlädt. Der Agent läuft über portweitergeleitetes SSH, baut eine WebSocket-Verbindung zum VSCode-Frontend auf und kann im Dateisystem navigieren, beliebige Dateien bearbeiten, eigene Shell-PTYs starten und sich selbst persistieren. Ptacek warnt vor den Sicherheitsimplikationen, besonders auf Produktionsservern.
In security-world, there’s a name for tools that work this way. I won’t say it out loud, because that’s not fair to VSCode, but let’s just say the name is murid in nature.