Non è ssh-copy-id che espone a un attacco di forza bruta?

Question

Non è ssh-copy-id che espone a un attacco di forza bruta?

#1 da (1 voti)
#2 da (1 voti)

2

È risaputo che l'uso delle chiavi per autenticare gli utenti ssh è più sicuro rispetto all'utilizzo delle password. Tuttavia, anche con login password disabilitato, quando si esegue ssh-copy-id mi viene comunque richiesta la password dell'utente. Mi viene da pensare - cosa impedisce al pirata informatico di forzare questa password invece (e caricare la chiave pubblica autogenerata per ottenere l'accesso permanente)? È un buco di sicurezza, o mi manca qualcosa di importante?

P.S. supponiamo che non ci sia fail2ban o software simile in esecuzione

ssh brute-force vulnerability

posta Hipolith 06.10.2015 - 17:42

fonte

2 risposte

1

Ti viene chiesto di digitare una password ogni volta che la usi perché è il comportamento predefinito di quello strumento, dato che puoi leggere attraverso la sua documentazione:

presumably using a login password, so password authentication should be enabled, unless you've done some clever use of multiple identities

Per quanto riguarda la prevenzione degli attacchi bruteforce, potrebbe essere possibile fare riferimento alle buone pratiche elencate tramite questa risposta nel caso in cui non è possibile utilizzare fail2ban.

risposta data 06.10.2015 - 18:34

fonte

Leggi altre domande sui tag ssh brute-force vulnerability

L'autenticazione PKE può essere utilizzata come alternativa migliore a SRP? Modo corretto di firmare e verificare un messaggio

score 1 · Accepted Answer

ssh-copy-id è uno script che si collega semplicemente a una macchina di destinazione e alle copie la tua chiave pubblica lì, in modo che ulteriori tentativi di accesso su quella macchina possano essere eseguiti con la tua chiave privata SSH. Questo presuppone che può accedere a quella macchina in questo momento, mentre la tua chiave pubblica non è lì. Se viene richiesta una password, significa che l'accesso basato su password è ancora abilitato su quel server (o almeno che il client sta tentando di autenticarsi con una password, che potrebbe funzionare o meno a seconda della configurazione del server).