Perché è necessario avere una password sicura su Unix?

Sembra che tu abbia una chiara comprensione dei rischi. Come altri hanno affermato, è strongmente incoraggiato l'uso di una password complessa, quindi se stai eseguendo un servizio sensibile, quindi con tutti i mezzi, si prega di utilizzare solo password complesse.

Quando usi una password debole, ci sono alcuni rischi che ti vengono in mente e che non hai menzionato:

1. Potrebbero esserci altri servizi oltre a SSH (ad esempio FTP o altri) che accettano ancora l'autenticazione basata su password. È abbastanza probabile che uno di quei servizi sia accidentalmente abilitato in futuro, oppure che un amministratore di sistema possa temporaneamente abilitare l'autenticazione basata su password su SSH.

2. C'è un punto importante che non hai menzionato riguardo alle applicazioni dannose . In caso di intrusione a un account non root , è estremamente importante per impedire l'aggiornamento a root di accesso . Se la root password è debole, potresti avere una vulnerabilità aperta lì tramite la forza bruta. Inoltre, supponendo che ci sia un altro account con l'autorizzazione sudo , anche questi richiedono password complesse.

Non ignorare l'importanza di impedire alle applicazioni dannose di ottenere l'accesso root ; e fare attenzione al rischio di modifiche nella configurazione. Inoltre c'è una strong possibilità che tu ed io non conosciamo gli stessi vettori di attacco del tuo avversario .

Potresti essere in grado di aumentare la lunghezza della password per compensare la diminuzione della complessità, rendendo così più facile la digitazione. Come un dattilografo, ho difficoltà a relazionarmi con il tuo problema.

Non hai bisogno di una password complessa.

Il consiglio sulla password, come tanti altri, è un predefinito sicuro che noi professionisti della sicurezza forniamo perché di solito è un buon consiglio, molte persone (e aziende) non capiscono il rischio molto bene , e in caso di dubbio, errare sul lato della cautela.

Se non solo capisci, ma hai già mitigato i rischi, sei bravo. Io stesso uso una password di tre caratteri sulla mia macchina di casa, per lo stesso motivo: la principale minaccia da difendersi è che un gatto cammina sopra la tastiera, sblocca la macchina e in qualche modo fa un passo sulla combinazione di tasti "cancella tutto".

Esistono molti altri scenari in cui desideri una password complessa. In effetti, nella maggior parte dei casi lo fai. Questo è il motivo per cui avere una password sicura di solito è un buon consiglio. Ma chiunque ti sta dicendo che tu sempre, non importa il modello di minaccia, deve avere una password sicura non capisce la sicurezza.

Da un lato, il fatto è che non lo sai. Una password sicura è difesa in profondità. Di 'che tu (o qualcun altro) installi un servizio aggiuntivo che usi anche l'autenticazione Unix; per esempio FTP, dimenticando che non esiste una politica di password sicura e dimenticando di disabilitare gli utenti locali che non sono necessari. Ora hai una vulnerabilità.

D'altra parte, è più semplice indicare "hai bisogno di una password sicura" piuttosto che indicare tutte le condizioni in cui non è necessaria una password complessa. Quando sai cosa stai facendo e lo fai correttamente, è possibile impostare le cose in modo da non aver più bisogno di una password di accesso. A quel punto hai anche i mezzi per prendere "Hai bisogno di una password sicura" per quello che vale.

Penso che la domanda dovrebbe essere "Perché NON usare una password complessa".

Secondo me, una password sicura è la base di ogni sistema sicuro. Hai menzionato alcune protezioni, ma hai dimenticato alcuni altri vettori di attacco: ad esempio, se il tuo server è un server web e ti viene compromesso da un attacco di esecuzione del codice, l'utente malintenzionato avrebbe accesso solo all'utente www-data, ma se tu avere password di root deboli, l'utente malintenzionato può facilmente aumentare i privilegi. Oppure, ad esempio, se il software FTP che utilizzi ha una vulnerabilità e qualcuno lo sfrutta, sarà in grado di ottenere facilmente i root.

Gli attacchi non provengono solo da "software dannoso": un semplice Apache non appiccato può compromettere il tuo sistema.

Ricorda che puoi avere password complesse facili da ricordare. Pensa alla tua frase preferita, modifica con pochi numeri e caratteri speciali e questo è già più che sufficiente. Esempio: prendi la frase "amo i panini alla cannella dai negozi tesco" e puoi ottenere una password sicura: "1lovecinnamon !!! roll !!! fromtescostores !!"

Tipiche implementazioni di password / gestori segreti come gnome-keyring o alcuni schemi di crittografia home-area o file utilizzano la password di accesso per la crittografia.

In questi scenari, una password debole rende più facile per qualcuno recuperare i dati segreti se possono accedere a una copia del contenuto del disco rigido (come da un backup o un laptop lasciato incustodito).

Un utente malintenzionato potrebbe essere in grado di accedere a un account limitato sul computer dell'utente, anziché sul proprio account utente. Ad esempio, potresti avere servizi di sistema che eseguire come utente "nessuno" o qualche account specifico del servizio come "httpd" o simile. Esistono spesso modi in cui un utente malintenzionato può accedere a un account di questo tipo ma non un account utente completo (ad esempio alcuni servizi possono eseguire file utilizzando un utente con limitazioni limitate e un utente malintenzionato potrebbe aver trovato un modo per spingere i file in un luogo dove saranno eseguiti senza bisogno di accedere completamente). Ciò consentirebbe a un utente malintenzionato di eseguire comandi, come su , ma non accedere ad alcun file protetto, lasciando la tua password come ultima linea di difesa.

Se sei connesso alla rete, o hai documenti che non vuoi rubare o sfogliare, allora le password complesse sono un must. Non importa quale sia il sistema operativo.

A prova di ciò, metti netshark sul tuo sistema e guarda quanti tentativi di accesso non autorizzati sono fatti.