Привет всем, в качестве паранойи: что безопаснее в ssh: аутентификация по паролю или по ключам???
LinuxForum.Fans
Аутентификация ssh в качестве паранойи
Автор: KRUTO
39 сообщений
4192 просмотров
Безопаснее аутентификация по ключу и паролю ;)
Если же рассматривать вариант или то, или то: каждый из них имеет свой «минус» — пароль можно подсмотреть, ключ можно украсть. Хотя считается, что ключ менее подвержен подбору.
Мне нравится (удобно) по ключу без парольной фразы.
пароль можно подсмотреть, ключ можно украсть
Что имеется в виду сетевое проникновение иличисто физическое: пришёл- увидел-спёр?
Что имеется в виду сетевое проникновение иличисто физическое: пришёл- увидел-спёр?
Думаю, и так, и так возможно.
Меня физическое не беспокоит, вроде как не кому и следить стараюсь.А вот сетевое волнует чрезвычайно, и поэтому хотелось бы знать мнение опытных людей как лучше организовать защиту вообще и ssh-доступа в первую очередь, до других проблем я ещё не дорос. Сейчас занимаюсь настройкой общей безопасности и начал с ssh.
В интернете часто пишут что доступ по ssh лучшеделать не рутом а юзером, а администрировать через sudo. Но ведь если пароль подобрать к юзеру тогда и sudo сработает с тем же паролем. в чём смысл?
Другое дело если логиниться юзером а потом
text
~$ su rootЕщё есть такое мнение что нужно разделять права на администрирование,
типа root - только iptables, www-data web-ресурсы и т.д..
есть ли смысл так усложнять? Или это уже слишком далеко за гранью паранойи?
IMHO, для повседневного «домашнего» использования хватит и ssh-ключей.
В интернете часто пишут что доступ по ssh лучшеделать не рутом а юзером, а администрировать через sudo. Но ведь если пароль подобрать к юзеру тогда и sudo сработает с тем же паролем. в чём смысл?
При грамотной настройке sudo позволяет выполнить только заранее определённый набор команд, с определёнными аргументами, на точно указанном хосте, определённому пользователю или группе.
Мне нравится (удобно) по ключу без парольной фразы.
есть же ssh-agent. а на ноутах и любых мобильных девайсах не шифрованный ключ - зло...
Ещё есть такое мнение что нужно разделять права на администрирование,типа root - только iptables, www-data web-ресурсы и т.д..есть ли смысл так усложнять? Или это уже слишком далеко за гранью паранойи?
root - может всё и всегда...
если мучает паранойя, то конечно можно разделить администрирование на отдельных юзеров, чтобы не заходить под root'ом, но ИМХО игра не стоит свеч...
IMHO, для повседневного «домашнего» использования хватит и ssh-ключей.
Можно проще: В конфиге ssh прописать конкретный ip из домашки, в iptables зарезать порт для доступа из внешки и вот оно - счастье(сейчас так себе и настраиваю на домашнем шлюзе)
На продакшен такой халявы не бывает, как я понимаю.
[Kostilo],
Советую смотреть в сторону PAM,
ключ можно украсть.
Так вывод, ИМХО: удобнее через пароль и проще, чем таскать с собой ключ - можно с любой машины при желании зайти, а безопаснее ключ + пароль. Так?
в iptables зарезать порт для доступа из внешки и вот оно - счастье
не уверен
Так вывод, ИМХО: удобнее через пароль и проще, чем таскать с собой ключ - можно с любой машины при желании зайти, а безопаснее ключ + пароль. Так?
Примерно так. Ключ можно «таскать» на зашифрованной флешке.
Если уж «параноить» по-полному %) , то можно переназначить порт с общеизвестного 22-го на что-нибудь вроде 32322; настроить fail2ban и использовать Port Knocking.
Привет всем, в качестве паранойи: что безопаснее в ssh: аутентификация по паролю или по ключам???
дурак или прикидываешься? по ключам, всегда ваш К.О.
Мне нравится (удобно) по ключу без парольной фразы.
можно и парольную фразу на ключ повесить
username ты откуда найдёшь?В интернете часто пишут что доступ по ssh лучшеделать не рутом а юзером, а администрировать через sudo. Но ведь если пароль подобрать к юзеру тогда и sudo сработает с тем же паролем. в чём смысл?
есть же ssh-agent.
фтоппку. минус мне лень ставить, хотя надо.
такие дела.
фтоппку. минус мне лень ставить, хотя надо.
такие дела.
А обосновать?
дурак или прикидываешься?
Я с позиции, ключи свиснуть же можно
username ты откуда найдёшь?
Раз зашёл по ssh значит логин/пароль уже имеешь
Технический вопрос в тему:
Если нужно оставить подключение только через внешний интерфейс, то раскомментировав строку мы напишем:
ListenAddress 192.168.123.0
Я пишу
text
ListenAddress 192.168.0.2 #ip клиентаи меня не пускают.Можно ли сделать так чтобы пускали только с одного ip?
PS: ListenAddress 192.168.0.0 - тоже не работает
Войдите или зарегистрируйтесь, чтобы ответить.
