Autenticazione automatica sicura per la condivisione samba

Question

Autenticazione automatica sicura per la condivisione samba

#1 da (3 voti)

1

Ho bisogno di trasferire alcuni dati dallo storage di rete a un laptop disponibile pubblicamente su cui è in esecuzione Linux. L'archivio di rete veniva fornito tramite un server che poteva essere collegato a ssh, ma ora è stato passato a un server che fornisce solo l'accesso tramite samba. Ero solito collegarmi dal computer al server con chiavi SSH e ho inserito la chiave nel server per eseguire solo rsync per renderlo più difficile per il laptop compromesso (è disponibile pubblicamente dopo tutto) per limitare il danno (o almeno rendere più difficile) danneggiare / compromettere il server. Probabilmente sarebbe stato meglio spingere dal server al laptop, ma l'indirizzo IP cambia a seconda di dove è stato utilizzato e spesso non riuscivo a passare attraverso il firewall il portatile era dietro (è usato nelle case delle persone).

Ho chiesto a IS come implementare la sincronizzazione dei dati sul nuovo sistema. La risposta è stata quella di memorizzare la mia password in formato testo sul portatile disponibile pubblicamente e utilizzarla per montare la condivisione samba. Ci sono commenti per me:

I would suggest that storing a plain text password on your machine is no more "dangerous" than storing both of your public/private SSH keys on the same disk. Anyone who "roots" your machine can log keystrokes to learn passwords in either case.

Sono abbastanza sicuro che questo consiglio sia semplicemente sbagliato. Lavoro in un'università e utilizziamo un singolo registro per l'impostazione della directory attiva. Con la chiave SSH qualcuno può accedere a un singolo servizio su un singolo server, mentre la mia password darà loro accesso a "tutto". C'è un modo per montare in modo sicuro una condivisione di samba senza rendere disponibile la mia password? Ad esempio, forse impostando un server (virtuale) che funge da passaggio tra.

Una seconda domanda, decisamente più delicata, è che il consiglio sulle password di testo normale sia così grave che dovrei segnalare la persona IS, che si trova nel team di archiviazione file, a qualcuno del team di sicurezza IS?

ethics authentication

posta StrongBad 31.07.2014 - 13:51

fonte

1 risposta

Leggi altre domande sui tag ethics authentication

Eliminazione di trojan su Windows XP: il toolkit di base decodifica codice iniettato

score 3 · Answer 1

Sono abbastanza corretti. Se memorizzi le credenziali sul laptop e il cattivo lo compromette, il cattivo ottiene quelle credenziali, fine della storia.

Contrariamente intuitivo come sembra, il testo semplice è il modo corretto di memorizzare le credenziali in questo set-up. È inutile per crittografarli, poiché il computer portatile deve essere in grado di decrittografarli, quindi devi inserire la chiave di decodifica sul portatile e sei tornato dove hai iniziato, tranne che hai aggiunto complessità senza senso. (È interessante notare che questo è il motivo per cui i sistemi DRM si rivelano invariabilmente olio di serpente. Non importa in che modo crittografate un film, dovete fornire all'utente finale la chiave per decrittografarlo prima che possano guardarlo.)

Dove hai un problema con il nuovo set-up è che stai proponendo di usare le tue credenziali per accedere allo spazio di archiviazione. È necessario disporre di un set separato di credenziali, solo per questo scopo, che sono bloccate in modo che possano accedere solo alla condivisione specifica.