-
Sul login via SSH versus private key☺Pensavo ancora a quella questione del non usare login da SSH per gestire un VPS. Pensavo... ma scusa, se tanto l'intero account che gestisce tutto (dashboard, domain manager, ecc) e` protetto da una password di "umana" invenzione, passare o meno da SSH con una password di equivalente complessita` che differenza fa?
O e` perche` tramite SSH e` piu` fattibile lanciare dictionary attacks?
Non ce l'ho ancora chiaro.
-
Re: Sul login via SSH versus private key☺Ho trovato questo:
http://citeseerx.ist.psu.edu/viewdoc/download?doi=...
Ma dove dice:
SSH cannot improve security if the public keys of all commonly used hosts cannot be authenticated.
Il significato mi e` oscuro.
Per public keys intendera` quelle crittografiche usate nello scambio di roba tra il client e la shell? E per "commonly used hosts" che cacchio intende?
-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 15:31:00.0 alle 2011-05-09 15:31:00.0
- Scritto da: Svyatopolk
> Una buona abitudine è non usare login ssh con
> password dell'account, ma usare login ssh con
> chiave
> pubblica.
Ma che cazzo stai a dì, ti fregano il piccì con la chiave e sei fottuto, dato che sicuramente tu avrai la chiave privata non protetta da password.
>
> Come funziona: sul client generi una chiave
> pubblica se non ce l'hai (il file
> .ssh/id_rsa.pub) lanciando ssh-keygen; poi dai la
> tua chiave pubblica al server con ssh-copy-id -i
> .ssh/id_rsa.pub
> username@hostname
> A questo punto il server è in grado di
> autenticarti utilizzando il file _invece_ della
> password.
> Se apri il file al suo interno ha una chiave di
> lunghezza molto maggiore di una comune password,
> pertanto è difficile da
> indovinare.
> Buona pratica inoltre è quella di disattivare
> completamente il login via password e usare solo
> le chiavi pubbliche, con la garanzia che non sarà
> possibile connettersi e tentare l'accesso con
> password("PasswordAuthentication no" in
> /etc/ssh/sshd_config).
>
> Cosa non ti è chiaro di tutto ciò?
> Fai conto di delegare a ssh-keygen la generazione
> di una password lunghiffima per abbandonare l'uso
> della password
> umana.
Come cacchio scrive questo qua..
-
Re: Sul login via SSH versus private key☺
- Scritto da:
>
> - Scritto da: Svyatopolk
> > Una buona abitudine è non usare login ssh con
> > password dell'account, ma usare login ssh con
> > chiave
> > pubblica.
>
> Ma che cazzo stai a dì, ti fregano il piccì con
> la chiave e sei fottuto, dato che sicuramente tu
> avrai la chiave privata non protetta da
> password.
E' un livello di protezione decente contro gli attacchi a dizionario e nulla più. Fottuto di cosa che ha linode con lish, può accedere alla tty1 con le chiavi generate da linode, sempre e comunque.
> >
> > Come funziona: sul client generi una chiave
> > pubblica se non ce l'hai (il file
> > .ssh/id_rsa.pub) lanciando ssh-keygen; poi dai
> la
> > tua chiave pubblica al server con ssh-copy-id -i
> > .ssh/id_rsa.pub
> > username@hostname
> > A questo punto il server è in grado di
> > autenticarti utilizzando il file _invece_ della
> > password.
> > Se apri il file al suo interno ha una chiave di
> > lunghezza molto maggiore di una comune password,
> > pertanto è difficile da
> > indovinare.
> > Buona pratica inoltre è quella di disattivare
> > completamente il login via password e usare solo
> > le chiavi pubbliche, con la garanzia che non
> sarà
> > possibile connettersi e tentare l'accesso con
> > password("PasswordAuthentication no" in
> > /etc/ssh/sshd_config).
> >
> > Cosa non ti è chiaro di tutto ciò?
> > Fai conto di delegare a ssh-keygen la
> generazione
> > di una password lunghiffima per abbandonare
> l'uso
> > della password
> > umana.
>
> Come cacchio scrive questo qua..
Come cazzo mi pare-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 16:30:00.0 alle 2011-05-09 16:30:00.0
- Scritto da: Svyatopolk
>
> - Scritto da:
> >
> > - Scritto da: Svyatopolk
> > > Una buona abitudine è non usare login ssh con
> > > password dell'account, ma usare login ssh con
> > > chiave
> > > pubblica.
> >
> > Ma che cazzo stai a dì, ti fregano il piccì con
> > la chiave e sei fottuto, dato che sicuramente tu
> > avrai la chiave privata non protetta da
> > password.
>
> E' un livello di protezione decente contro gli
> attacchi a dizionario e nulla più. Fottuto di
> cosa che ha linode con lish, può accedere alla
> tty1 con le chiavi generate da linode, sempre e
> comunque.
Come sempre e comunque, basta disabilitarla all' init.
>
> > >
> > > Come funziona: sul client generi una chiave
> > > pubblica se non ce l'hai (il file
> > > .ssh/id_rsa.pub) lanciando ssh-keygen; poi dai
> > la
> > > tua chiave pubblica al server con ssh-copy-id
> -i
> > > .ssh/id_rsa.pub
> > > username@hostname
> > > A questo punto il server è in grado di
> > > autenticarti utilizzando il file _invece_
> della
> > > password.
> > > Se apri il file al suo interno ha una chiave
> di
> > > lunghezza molto maggiore di una comune
> password,
> > > pertanto è difficile da
> > > indovinare.
> > > Buona pratica inoltre è quella di disattivare
> > > completamente il login via password e usare
> solo
> > > le chiavi pubbliche, con la garanzia che non
> > sarà
> > > possibile connettersi e tentare l'accesso con
> > > password("PasswordAuthentication no" in
> > > /etc/ssh/sshd_config).
> > >
> > > Cosa non ti è chiaro di tutto ciò?
> > > Fai conto di delegare a ssh-keygen la
> > generazione
> > > di una password lunghiffima per abbandonare
> > l'uso
> > > della password
> > > umana.
> >
> > Come cacchio scrive questo qua..
>
> Come cazzo mi pare
si vede
-
-
Re: Sul login via SSH versus private key☺> > Una buona abitudine è non usare login ssh con
> > password dell'account, ma usare login ssh con
> > chiave
> > pubblica.
>
> Ma che cazzo stai a dì, ti fregano il piccì con
> la chiave e sei fottuto, dato che sicuramente tu
> avrai la chiave privata non protetta da
> password.
La mia preoccupazione al limite sarebbe perdere il file con la chiave. Pero` immagino che l'accesso a un Linode in ogni caso sarebbe recuperabile tramite Lish. Se immagino male, ditemelo.
Per il rischio di furto, il PC che uso e` quello di casa, protetto da un cocker abbaiante e permalosissimo e da quattro gatti che distrarrebbero efficacemente il ladro chiedendogli da mangiare.
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 18:26:00.0 alle 2011-05-09 18:26:00.0> > > Una buona abitudine è non usare login ssh con
> > > password dell'account, ma usare login ssh con
> > > chiave
> > > pubblica.
> >
> > Ma che cazzo stai a dì, ti fregano il piccì con
> > la chiave e sei fottuto, dato che sicuramente tu
> > avrai la chiave privata non protetta da
> > password.
>
> La mia preoccupazione al limite sarebbe perdere
> il file con la chiave. Pero` immagino che
> l'accesso a un Linode in ogni caso sarebbe
> recuperabile tramite Lish. Se immagino male,
> ditemelo.
>
>
> Per il rischio di furto, il PC che uso e` quello
> di casa, protetto da un cocker abbaiante e
> permalosissimo e da quattro gatti che
> distrarrebbero efficacemente il ladro
> chiedendogli da mangiare.
>
Mah, certi ladri sono quasi invisibili: sapevo (forse l'ho letto qui) di ladri penetrati in casa di qualcuno che han portato via roba di valore senza nemmeno svegliare il gatto.
-
-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 16:09:00.0 alle 2011-05-09 16:09:00.0> Una buona abitudine è non usare login ssh con
> password dell'account, ma usare login ssh con
> chiave
> pubblica.
>
> Come funziona: sul client generi una chiave
> pubblica se non ce l'hai (il file
> .ssh/id_rsa.pub) lanciando ssh-keygen; poi dai la
> tua chiave pubblica al server con ssh-copy-id -i
> .ssh/id_rsa.pub
> username@hostname
> A questo punto il server è in grado di
> autenticarti utilizzando il file _invece_ della
> password.
> Se apri il file al suo interno ha una chiave di
> lunghezza molto maggiore di una comune password,
> pertanto è difficile da
> indovinare.
> Buona pratica inoltre è quella di disattivare
> completamente il login via password e usare solo
> le chiavi pubbliche, con la garanzia che non sarà
> possibile connettersi e tentare l'accesso con
> password("PasswordAuthentication no" in
> /etc/ssh/sshd_config).
>
> Cosa non ti è chiaro di tutto ciò?
> Fai conto di delegare a ssh-keygen la generazione
> di una password lunghiffima per abbandonare l'uso
> della password umana.
Questa sì che è una questione complicata, altro che l'asino e il carretto.
-
Re: Sul login via SSH versus private key☺> Questa sì che è una questione complicata,
> altro che l'asino e il carretto.
>
La soluzione finale l'avrei, ma e` lunga:
scrivo una shell in php e ne condiziono l'accesso a un One-Time Pad.
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 18:16:00.0 alle 2011-05-09 18:16:00.0
- Scritto da: alex.tg
> > Questa sì che è una questione complicata,
> > altro che l'asino e il carretto.
> >
>
> La soluzione finale l'avrei, ma e` lunga:
> scrivo una shell in php e ne condiziono l'accesso
> a un One-Time Pad.
>
c'è anche la tanica del kerosene
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 18:23:00.0 alle 2011-05-09 18:23:00.0> > Questa sì che è una questione complicata,
> > altro che l'asino e il carretto.
> >
>
> La soluzione finale l'avrei, ma e` lunga:
> scrivo una shell in php e ne condiziono l'accesso
> a un One-Time Pad.
>
Come fai a comunicare alla conchiglia che sta sul server la chiave usa e getta, presumibilmente non breve, in modo sicuro?-
Re: Sul login via SSH versus private key☺> > > Questa sì che è una questione complicata,
> > > altro che l'asino e il carretto.
> > >
> >
> > La soluzione finale l'avrei, ma e` lunga:
> > scrivo una shell in php e ne condiziono
> l'accesso
> > a un One-Time Pad.
> >
>
> Come fai a comunicare alla conchiglia che sta sul
> server la chiave usa e getta, presumibilmente non
> breve, in modo
> sicuro?
Via SSH naturalmente.
Pero` solo una volta, mentre nessuno sa o sospetta, di soppiatto, meglio se fischiettando durante il procedimento.
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 20:04:00.0 alle 2011-05-09 20:04:00.0> > > > Questa sì che è una questione
> complicata,
> > > > altro che l'asino e il carretto.
> > > >
> > >
> > > La soluzione finale l'avrei, ma e` lunga:
> > > scrivo una shell in php e ne condiziono
> > l'accesso
> > > a un One-Time Pad.
> > >
> >
> > Come fai a comunicare alla conchiglia che sta
> sul
> > server la chiave usa e getta, presumibilmente
> non
> > breve, in modo
> > sicuro?
>
> Via SSH naturalmente.
> Pero` solo una volta, mentre nessuno sa o
> sospetta, di soppiatto, meglio se fischiettando
> durante il procedimento.
>
Boh, non mi è chiara la procedura. Il problema delle one-time-pad è in genere comunicarle all'altro in modo sicuro. Ma non conoscendo come funzione SSH non posso dire.-
Re: Sul login via SSH versus private key☺> > > > > Questa sì che è una questione
> > complicata,
> > > > > altro che l'asino e il carretto.
> > > > >
> > > >
> > > > La soluzione finale l'avrei, ma e` lunga:
> > > > scrivo una shell in php e ne condiziono
> > > l'accesso
> > > > a un One-Time Pad.
> > > >
> > >
> > > Come fai a comunicare alla conchiglia che sta
> > sul
> > > server la chiave usa e getta, presumibilmente
> > non
> > > breve, in modo
> > > sicuro?
> >
> > Via SSH naturalmente.
> > Pero` solo una volta, mentre nessuno sa o
> > sospetta, di soppiatto, meglio se fischiettando
> > durante il procedimento.
> >
>
> Boh, non mi è chiara la procedura. Il problema
> delle one-time-pad è in genere comunicarle
> all'altro in modo sicuro. Ma non conoscendo come
> funzione SSH non posso
> dire.
Il modo "sicuro" potrebbe essere comunicarle al server prima che il server diventi famoso e bersaglio succulento di attacchi. Gliene dai un milione, di chiavi, per un milione di comandi, e poi li usi.
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 20:50:00.0 alle 2011-05-09 20:50:00.0> > > > > > Questa sì che è una questione
> > > complicata,
> > > > > > altro che l'asino e il carretto.
> > > > > >
> > > > >
> > > > > La soluzione finale l'avrei, ma e` lunga:
> > > > > scrivo una shell in php e ne condiziono
> > > > l'accesso
> > > > > a un One-Time Pad.
> > > > >
> > > >
> > > > Come fai a comunicare alla conchiglia che
> sta
> > > sul
> > > > server la chiave usa e getta,
> presumibilmente
> > > non
> > > > breve, in modo
> > > > sicuro?
> > >
> > > Via SSH naturalmente.
> > > Pero` solo una volta, mentre nessuno sa o
> > > sospetta, di soppiatto, meglio se
> fischiettando
> > > durante il procedimento.
> > >
> >
> > Boh, non mi è chiara la procedura. Il problema
> > delle one-time-pad è in genere comunicarle
> > all'altro in modo sicuro. Ma non conoscendo come
> > funzione SSH non posso
> > dire.
>
> Il modo "sicuro" potrebbe essere comunicarle al
> server prima che il server diventi famoso e
> bersaglio succulento di attacchi. Gliene dai un
> milione, di chiavi, per un milione di comandi, e
> poi li usi.
>
Ma quanto sono grandi ste chiavi?-
Re: Sul login via SSH versus private key☺> > > > > > > Questa sì che è una questione
> > > > complicata,
> > > > > > > altro che l'asino e il carretto.
> > > > > > >
> > > > > >
> > > > > > La soluzione finale l'avrei, ma e`
> lunga:
> > > > > > scrivo una shell in php e ne condiziono
> > > > > l'accesso
> > > > > > a un One-Time Pad.
> > > > > >
> > > > >
> > > > > Come fai a comunicare alla conchiglia che
> > sta
> > > > sul
> > > > > server la chiave usa e getta,
> > presumibilmente
> > > > non
> > > > > breve, in modo
> > > > > sicuro?
> > > >
> > > > Via SSH naturalmente.
> > > > Pero` solo una volta, mentre nessuno sa o
> > > > sospetta, di soppiatto, meglio se
> > fischiettando
> > > > durante il procedimento.
> > > >
> > >
> > > Boh, non mi è chiara la procedura. Il problema
> > > delle one-time-pad è in genere comunicarle
> > > all'altro in modo sicuro. Ma non conoscendo
> come
> > > funzione SSH non posso
> > > dire.
> >
> > Il modo "sicuro" potrebbe essere comunicarle al
> > server prima che il server diventi famoso e
> > bersaglio succulento di attacchi. Gliene dai un
> > milione, di chiavi, per un milione di comandi, e
> > poi li usi.
> >
>
> Ma quanto sono grandi ste chiavi?
Quanto basta...
Che so... 20 caratteri alfanumerici ciascuna?
20 megabyte e siamo a posto.
combinazioni uhm... 36 alla ventesima, probabilita` di azzeccamento 1 su 3620 / 1milione.
Ora guardo... 1 su 13367494538843734067838846 circa.
E va be', 20 mega che saranno mai...
Per i clienti del CMS ho fatto *davvero* cosi`.
C'e` un cifrario monouso per fare le modifiche.
no, che cazzo di conto ho fatto?
insomma sto cercando di seguire troppi forum insieme e nun cio` tempo... comunque una su tante.
-----------------------------------------------------------
Modificato dall' autore il 09 maggio 2011 23.40
------------------------------------------------------------
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-10 00:50:00.0 alle 2011-05-10 00:50:00.0> > > > > > > > Questa sì che è una questione
> > > > > complicata,
> > > > > > > > altro che l'asino e il carretto.
> > > > > > > >
> > > > > > >
> > > > > > > La soluzione finale l'avrei, ma e`
> > lunga:
> > > > > > > scrivo una shell in php e ne
> condiziono
> > > > > > l'accesso
> > > > > > > a un One-Time Pad.
> > > > > > >
> > > > > >
> > > > > > Come fai a comunicare alla conchiglia
> che
> > > sta
> > > > > sul
> > > > > > server la chiave usa e getta,
> > > presumibilmente
> > > > > non
> > > > > > breve, in modo
> > > > > > sicuro?
> > > > >
> > > > > Via SSH naturalmente.
> > > > > Pero` solo una volta, mentre nessuno sa o
> > > > > sospetta, di soppiatto, meglio se
> > > fischiettando
> > > > > durante il procedimento.
> > > > >
> > > >
> > > > Boh, non mi è chiara la procedura. Il
> problema
> > > > delle one-time-pad è in genere comunicarle
> > > > all'altro in modo sicuro. Ma non conoscendo
> > come
> > > > funzione SSH non posso
> > > > dire.
> > >
> > > Il modo "sicuro" potrebbe essere comunicarle
> al
> > > server prima che il server diventi famoso e
> > > bersaglio succulento di attacchi. Gliene dai
> un
> > > milione, di chiavi, per un milione di
> comandi,
> e
> > > poi li usi.
> > >
> >
> > Ma quanto sono grandi ste chiavi?
>
> Quanto basta...
> Che so... 20 caratteri alfanumerici ciascuna?
> 20 megabyte e siamo a posto.
> combinazioni uhm... 36 alla ventesima,
> probabilita` di azzeccamento 1 su 3620 /
> 1milione.
> Ora guardo... 1 su 13367494538843734067838846
> circa.
> E va be', 20 mega che saranno mai...
>
> Per i clienti del CMS ho fatto *davvero* cosi`.
> C'e` un cifrario monouso per fare le modifiche.
>
>
> no, che cazzo di conto ho fatto?
> insomma sto cercando di seguire troppi forum
> insieme e nun cio` tempo... comunque una su
> tante.
A bene.
Pensavo a chiavi molto più grosse e la cosa mi sembrava problematica.
-
-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-10 15:08:00.0 alle 2011-05-10 15:08:00.0> > > > > > Questa sì che è una questione
> > > complicata,
> > > > > > altro che l'asino e il carretto.
> > > > > >
> > > > >
> > > > > La soluzione finale l'avrei, ma e` lunga:
> > > > > scrivo una shell in php e ne condiziono
> > > > l'accesso
> > > > > a un One-Time Pad.
> > > > >
> > > >
> > > > Come fai a comunicare alla conchiglia che
> sta
> > > sul
> > > > server la chiave usa e getta,
> presumibilmente
> > > non
> > > > breve, in modo
> > > > sicuro?
> > >
> > > Via SSH naturalmente.
> > > Pero` solo una volta, mentre nessuno sa o
> > > sospetta, di soppiatto, meglio se
> fischiettando
> > > durante il procedimento.
> > >
> >
> > Boh, non mi è chiara la procedura. Il problema
> > delle one-time-pad è in genere comunicarle
> > all'altro in modo sicuro. Ma non conoscendo come
> > funzione SSH non posso
> > dire.
>
> Il modo "sicuro" potrebbe essere comunicarle al
> server prima che il server diventi famoso e
> bersaglio succulento di attacchi. Gliene dai un
> milione, di chiavi, per un milione di comandi, e
> poi li usi.
>
Più penso a sto metodo, più mi piace.-
Re: Sul login via SSH versus private key☺> > > Boh, non mi è chiara la procedura. Il problema
> > > delle one-time-pad è in genere comunicarle
> > > all'altro in modo sicuro. Ma non conoscendo
> come
> > > funzione SSH non posso
> > > dire.
> >
> > Il modo "sicuro" potrebbe essere comunicarle al
> > server prima che il server diventi famoso e
> > bersaglio succulento di attacchi. Gliene dai un
> > milione, di chiavi, per un milione di comandi, e
> > poi li usi.
> >
>
> Più penso a sto metodo, più mi piace.
E` semplice, e se nessuno puo` accedere al file delle chiavi sul server, e` anche invulnerabile. Ah, una cosa da fare per generare le chiavi: niente PRNG liscio, meglio salare il tutto con una sorgente di rumore genuinamente casuale o comunque parecchio sgradevole, un po' di death metal dovrebbe andare bene.
Se si lascia operare un PRNG a partire da un seme numerico, qualcuno intercettando le chiavi potrebbe ricostruire la tabella pseudo.-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-10 16:10:00.0 alle 2011-05-10 16:10:00.0> > > > Boh, non mi è chiara la procedura. Il
> problema
> > > > delle one-time-pad è in genere comunicarle
> > > > all'altro in modo sicuro. Ma non conoscendo
> > come
> > > > funzione SSH non posso
> > > > dire.
> > >
> > > Il modo "sicuro" potrebbe essere comunicarle
> al
> > > server prima che il server diventi famoso e
> > > bersaglio succulento di attacchi. Gliene dai
> un
> > > milione, di chiavi, per un milione di
> comandi,
> e
> > > poi li usi.
> > >
> >
> > Più penso a sto metodo, più mi piace.
>
> E` semplice, e se nessuno puo` accedere al file
> delle chiavi sul server, e` anche invulnerabile.
> Ah, una cosa da fare per generare le chiavi:
> niente PRNG liscio, meglio salare il tutto con
> una sorgente di rumore genuinamente casuale o
> comunque parecchio sgradevole, un po' di death
> metal dovrebbe andare bene.
>
>
> Se si lascia operare un PRNG a partire da un seme
> numerico, qualcuno intercettando le chiavi
> potrebbe ricostruire la tabella pseudo.
Pensavo a una cosa del genere: un file contiene le chiavi, una per riga. Ne tieni una copia e ne metti una copia sul server quando carichi il sito. Ogni volta che fai un accesso web, il server accetta la prima riga del file come chiave, e tu usi quella. Finita la sessione il server cancella la prima riga, e tu pure nella tua copia.
Bisogna però che la cancellazione sia esatta, che venga ogni volta cancellata la prima riga senza casini. E anche tu devi ricordarti di cancellare la prima riga nel tuo file.
Se lo script permette accessi multipli simultanei, ci sono poi da gestire le race condition nell'accesso al file.-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-10 23:17:00.0 alle 2011-05-10 23:17:00.0
-
-
-
-
-
-
-
-
-
Re: Sul login via SSH versus private key☺
- Scritto da: alex.tg
> > Questa sì che è una questione complicata,
> > altro che l'asino e il carretto.
> >
>
> La soluzione finale l'avrei, ma e` lunga:
> scrivo una shell in php e ne condiziono l'accesso
> a un One-Time Pad.
>
ajaxterm o un altro che non mi ricordo.
-
-
-
Re: Sul login via SSH versus private key☺Scusate, ero andato a letto.
Avevo un abbiocco pomeridiano postprandiale.
> Una buona abitudine è non usare login ssh con
> password dell'account, ma usare login ssh con
> chiave
> pubblica.
>
> Come funziona: sul client generi una chiave
> pubblica se non ce l'hai (il file
> .ssh/id_rsa.pub) lanciando ssh-keygen; poi dai la
> tua chiave pubblica al server con ssh-copy-id -i
> .ssh/id_rsa.pub
> username@hostname
> A questo punto il server è in grado di
> autenticarti utilizzando il file _invece_ della
> password.
> Se apri il file al suo interno ha una chiave di
> lunghezza molto maggiore di una comune password,
> pertanto è difficile da
> indovinare.
> Buona pratica inoltre è quella di disattivare
> completamente il login via password e usare solo
> le chiavi pubbliche, con la garanzia che non sarà
> possibile connettersi e tentare l'accesso con
> password("PasswordAuthentication no" in
> /etc/ssh/sshd_config).
Se faccio cosi`, in effetti dovrei salvaguardarmi dai dictionary attacks. A quel punto fail2ban et similia non servono piu` neanche a ripulire l'auth.log? Cioe`, auth.log logga solo i tentativi di accesso con nome utente e password?
> Cosa non ti è chiaro di tutto ciò?
> Fai conto di delegare a ssh-keygen la generazione
> di una password lunghiffima per abbandonare l'uso
> della password
> umana.
Cosa non mi e` chiaro e` che la lunghezza della chiave privata e` comunque secondaria a quella della password "umana" che uso per accedere alla console di gestione dell'intero nodo; intendo, la web interface, da cui si puo` fare comunque di tutto, incluso cancellare l'intero account del VPS.
-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 15:25:00.0 alle 2011-05-09 15:25:00.0
- Scritto da: alex.tg
> Pensavo ancora a quella questione del non usare
> login da SSH per gestire un VPS. Pensavo... ma
> scusa, se tanto l'intero account che gestisce
> tutto (dashboard, domain manager, ecc) e`
> protetto da una password di "umana" invenzione,
> passare o meno da SSH con una password di
> equivalente complessita` che differenza
> fa?
>
> O e` perche` tramite SSH e` piu` fattibile
> lanciare dictionary attacks?
>
> Non ce l'ho ancora chiaro.
Non dirmo che usi la stessa password per tutto?
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 16:06:00.0 alle 2011-05-09 16:06:00.0
- Scritto da:
>
> - Scritto da: alex.tg
> > Pensavo ancora a quella questione del non usare
> > login da SSH per gestire un VPS. Pensavo... ma
> > scusa, se tanto l'intero account che gestisce
> > tutto (dashboard, domain manager, ecc) e`
> > protetto da una password di "umana" invenzione,
> > passare o meno da SSH con una password di
> > equivalente complessita` che differenza
> > fa?
> >
> > O e` perche` tramite SSH e` piu` fattibile
> > lanciare dictionary attacks?
> >
> > Non ce l'ho ancora chiaro.
>
> Non dirmo che usi la stessa password per tutto?
>
Sì, è "44".
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-09 16:31:00.0 alle 2011-05-09 16:31:00.0
- Scritto da:
>
> - Scritto da:
> >
> > - Scritto da: alex.tg
> > > Pensavo ancora a quella questione del non
> usare
> > > login da SSH per gestire un VPS. Pensavo... ma
> > > scusa, se tanto l'intero account che gestisce
> > > tutto (dashboard, domain manager, ecc) e`
> > > protetto da una password di "umana"
> invenzione,
> > > passare o meno da SSH con una password di
> > > equivalente complessita` che differenza
> > > fa?
> > >
> > > O e` perche` tramite SSH e` piu` fattibile
> > > lanciare dictionary attacks?
> > >
> > > Non ce l'ho ancora chiaro.
> >
> > Non dirmo che usi la stessa password per tutto?
> >
>
> Sì, è "44".
44 flogi in trenini di 3 col resto di 2 controllori?
-
-
-
-
Re: Sul login via SSH versus private key☺> Intanto potresti usare uno dei tanti online
> password generator per creare la tua password in
> modo che sia
creata e conservata su un server altrui?
> formata il più possibile da
> caratteri casuali (e possibilmente lunga). Questo
> ti mette al sicuro da eventuali attacchi a
> dizionario via
> WEB.
Le mie password non sono attaccabili col dizionario, e anche il brute-forcing lo vedo duro, bisogna proprio mettercisi d'impegno.
> Poi l'accesso via SSH è sempre comodo (anzi, imo
> irrinunciabile, io gestisco tutto da lì) e anche
> qui hai due
> scelte:
> - o via password
> - o via chiave pubblica
Eh infatti, non credo che ad esempio WinSCP possa farne a meno.
> La via della chiave pubblica è da preferire per
> queste
> ragioni:
> - non è sensibile ad attacchi a dizionario (il
> 90% delle password "lì fuori" ha questo
> problema)
> - i brute-force non sono fattibili (è più
> probabile un brute-force contro una password
> perché in genere ha una lunghezza ridicola
> [dovendo essere facile
> ricordarla])
Le mie oscillano tra gli 8 e i 12 caratteri, di solito, ma sono genuinamente casuali cioe` inventate di sana pianta a partire dal rumore quantistico tra i neuroni.
> - è molto comoda (non devi ricordarti nulla)
Io sbanco i test dove bisogna ricordare sequenze numeriche o alfanumeriche.
> Se poi disabilito da SSH anche l'accesso via
> password meglio
> ancora.
Si`, questo m'intriga, e in fondo lo vedo come l'unico reale vantaggio all'atto pratico. Pero` non so se vale la pena di legare il proprio accesso a un file.
> Per quanto riguarda la gestione via WEB io ci
> metterei una password bella lunga e complicata...
C'e`, c'e`.
> Se poi hai paura del furto del PC ti consiglio di
> cifrare il
> disco.
Mai, io a volte ho dovuto recuperare dati in seguito a disastri, e in quei casi non ci vorrei uno strato di cifratura a complicare le cose qualora dovessi rimettere insieme qualcosa.
Comunque, grazie per il riassunto. Volevo essere certo di non essermi perso qualche altra falla relativa al sistema di accesso a password.
-
-
Re: Sul login via SSH versus private keyScritto daNon Autenticatoil 2011-05-10 12:14:00.0 alle 2011-05-10 12:14:00.0- Scritto da: alex.tg
> Pensavo ancora a quella questione del non usare
> login da SSH per gestire un VPS. Pensavo... ma
> scusa, se tanto l'intero account che gestisce
> tutto (dashboard, domain manager, ecc) e`
> protetto da una password di "umana" invenzione,
> passare o meno da SSH con una password di
> equivalente complessita` che differenza
> fa?
>
> O e` perche` tramite SSH e` piu` fattibile
> lanciare dictionary attacks?
>
> Non ce l'ho ancora chiaro.
non mi va gugle
-
Re: Sul login via SSH versus private key☺> > Pensavo ancora a quella questione del non usare
> > login da SSH per gestire un VPS. Pensavo... ma
> > scusa, se tanto l'intero account che gestisce
> > tutto (dashboard, domain manager, ecc) e`
> > protetto da una password di "umana" invenzione,
> > passare o meno da SSH con una password di
> > equivalente complessita` che differenza
> > fa?
> >
> > O e` perche` tramite SSH e` piu` fattibile
> > lanciare dictionary attacks?
> >
> > Non ce l'ho ancora chiaro.
>
> non mi va gugle
>
>
>
Hai tolto il freno a mano?
-
-
-
Tutto il forum — Thread Sul login via SSH versus private key
-
- Discussioni: Cronologia Nuove (Per utente) Ultime
- |
- Nuovo messaggio
- |
- Sondaggi
- |
- Inserisci fake ad
- Notizie: Cronologia Nuove (Per utente) Ultime
- |
- Nuova notizia
»
«
The Troll's Digest
Visualizzazione Mobile
Tags
Mostra notizie nelle discussioni
The Troll's Digest
Visualizzazione Mobile
Tags
- Forum dei Troll / Tutto
- Forum dei Troll / Principale
- Proc di Catania
- Politica
- News
- Forum Deserto
- Musica
- Sesso
- _______________
- Cinema
- Verdurin
- FreeBan
- Richieste Forum
- Cenere
- God? No, thanks
- Rep.Psichiatria
- Sondaggi trolleschi
- Buco del culo
- Bollettino bot
- Forum Inutile
- Ultraviolenza!!
- Frasi celebri
- IL FORUM DI PI
- Forum svizzero
- L'Amore
- Cimitero
- Commissariato
- dei Fuorilegge
- Aviazione
- The Troll's Lair...
- Denunce
- Informatica
- dei Troll Giust
- addio...
- PI pro e contro
- Virgolette
- Pi Flame
- Staz Luino
- Boiate su PI
- Amici dei Criceti Giganti
- Arte&CULtura
- Icspi & Friends
- Bollettino
- Prostituzione
- Filosofia
- L'angolo della Carità
- Sa Limba
- 11 settembre
- Programmazione
- Admin
- W la redazione
- ROTFL
- FAKE-FORUM
- Trollar rimando
- Forum Di Destra
- La Sacra Loggia dei Topocani
- Scienza&Tecnica
- Frecciette
- Fight club
- Forum di sx
- Videogiochi
- Turismo
- Predator
- Camionari & co.
- Privacy IT
- Commenti alle news di PI
- Hacking