L'accesso a SSH con una password SSH 2048 bit è meno sicuro dell'accesso con una chiave privata a 2048 bit? [duplicare]

Question

L'accesso a SSH con una password SSH 2048 bit è meno sicuro dell'accesso con una chiave privata a 2048 bit? [duplicare]

#1 da (6 voti)

3

Non sto certo dicendo che questa è una "buona idea" e disabilito sempre l'autenticazione tramite password sui server SSH. Tuttavia, la domanda è venuta fuori parlando con un amico: se la tua password è lunga e casuale come la tua chiave SSH privata, c'è una differenza di sicurezza con l'accesso con la tua password lunga rispetto alla tua chiave privata?

La mia intuizione è che la password è meno sicura perché è necessario trasmetterla "via cavo" affinché il server possa autenticarsi. Mentre la tua chiave privata rimane sul tuo computer, invii solo un calcolo di public_key * private_key al server remoto. Ma poi, il server remoto ha la tua chiave pubblica ... quindi è meglio?

In teoria, la forzatura brutale di una password di 2048 bit (con un'entropia adeguata) dovrebbe essere esattamente tanto difficile quanto forzare brute una chiave privata di 2048 bit, correggere?

passwords ssh brute-force public-key-infrastructure password-cracking

posta formicophobia 23.02.2017 - 12:54

fonte

1 risposta

Leggi altre domande sui tag passwords ssh brute-force public-key-infrastructure password-cracking

Esiste uno strumento che segnala lo stato di PKI (date CRL, scadenza, ecc.)? Il creatore dei link di Bitly può essere determinato dal collegamento?

score 6 · Accepted Answer

Theoretically, brute forcing a 2048 bit password (with proper entropy) should be exactly as difficult as brute forcing a 2048 bit private key, correct?

Non proprio. Una chiave RSA a 2048 bit ha solo entropia efficace a 112 bit ( spiegazione ).

Una chiave pubblica SSH è più sicura di una password poiché nel caso in cui un utente malintenzionato riesca a rilevare il server, sarà in grado di acquisire la password. Se riutilizzi la stessa password ovunque, sarebbero in grado di accedere a quelle macchine con la password acquisita.

Con la chiave SSH, un utente malintenzionato che ha compromesso il tuo server non può andare da nessun'altra parte.

C'è anche un leggero vantaggio nel fatto che, una volta espulso l'intruso, non sarà necessario cambiare la chiave SSH. Non è possibile bloccare l'intruso senza modificare la password.