Newsgroup: it.comp.os.linux.sys
Titolo: SSH: password o chiave pubblica?

Vedo su Google che e' un argomento piuttosto dibattuto, pero' non trovo
riferimenti adeguati per la mia situazione, ne credo che il caldo stia
contribuendo positivamente in fase di traduzione dall'inglese. O in fase
di attivita' mentale, temo.
Situazione:
	1) un po' di server, di proprieta' diverse, sparsi per l'Italia.
	2) portatile mio con elenco password su file criptato (con
	  password non demenziale, utilizzo mcrypt che di default adotta
	  "rijndael-128" come algoritmo).
	3) accesso ai server tramite password, come root per lo piu'.
	4) ogni server ha una password di root diversa.
Il punto 3 e' Male, lo so, ma non sempre decido io, non sempre ho la
voglia di stare a discutere.
Mi e' stato fatto notare che il sistema con chiave pubblica a sua volta
protetta da password e' da preferire, ma non capisco perche'.
Se ora mi fregano il portatile, devono scoprire una sola password o
crackare un solo file per avere tutto quanto.
Se metto le chiavi pubbliche con password, mettero' una sola password
per tutte le chiavi pubbliche, altrimenti poi dovrei rifare un elenco e
ricadrei nel punto precedente. Ma comunque ho sempre una sola password
da far scoprire.
Se metto la chiave pubblica per un utente normale e da li faccio
"su/sudo", comunque regalo un'accesso shell ad un sistema.
Usare password in chiaro o chiave pubblica, non mi pare cambi qualcosa
dal punto di vista della sicurezza della cifratura. Disabilitare in
blocco l'autenticazione da linea di comando non e' comunque praticabile.
Insomma, cos'e' che mi sfugge? E' ora di andare in vacanza?
	perplessamente,
	    Cthulhu
-- 
http://www.rlyeh.it/Rantolii/

 e' ricorrere ad un lungo elenco di password che puo' essere perduto.
spedirsele su un account di posta (ovviamente usando un nesso 
passwd<->macchina != da passwd<->IP_macchina, in modo che se ti aprono la
mail comuqne non vengono a scoprire a quale macchina e' legata ciascuna
passwd) e' stupido? e' meglio la penna usb?

 spedirsele su un account di posta 
ovviamente tale mail va lasciata sul server e non scaricata

La soluzione migliore è usare l'autenticzione con chiave pubblica non 
entrando con root, molto salutare un PermitRootLogin no.
Come porta va benissimo la 3569 o magari 2789, sconsiglio una banale 22.
Per quanto riguarda le chiavi private e la chiavetta usb bisogna 
considerare che i vari formati dei client ssh non sono compatibili, per 
avere una soluzione funzionante con putty, openssh ecc bisogna salvare 
la chiave in formati divesi, non è un grosso problema, comunque non è il 
masssimo della vita.
Alberto

 casa.
Infatti, oltre a proteggere le password bisogna anche considerare la
possibilità che il Pc che sto usando per connettermi abbia un key-logger
installato.
Non a caso, in ambito bancario viene utilizzato un meccanismo di OTP per i
collegamenti spot effettuati da macchine non fidate (internet cafe,
chioschi, ...)
Normalmente la password, valida solo per quella sessione che deve essere
attivata entro alcuni minuti, viene inviata via sms al numero di cellulare
associato all'utente.
stefano
-- 
Pgp Fingerprint: FF8D 7255 E8DE 882C  7991 B3E7 C703 C7EA
In God we trust, all others we monitor (National Security Agency)

    molto lunga (intorno ai 30 caratteri nel mio caso).
ma se perdi, rompi, ti rubano la penna usb sei fregato, allora, penso
che a 'sto punto sia meglio fare uno sforzo di memoria, io faccio così
per un centinaio di password da ricordare.
Ciao, Micky
-- 
Errare è umano, ma per fare veramente casino ci vuole la password di root!
mi...@fcnz.zrfvan.arg

 per un centinaio di password da ricordare.
Io un centinaio di password tipo:
Hy767(/=kNMT
non riesco a ricordarmele (ma neanche dieci).
ciao, f.


 non riesco a ricordarmele (ma neanche dieci).
Le mie sono come quelle di Davide, le genero con un algoritmo partendo
da una frase molto lunga che ha senso per la macchina in questione,
viene fuori una password del genere che hai scritto, sembra difficile
da ricordare, ma faccio prima a ricordarmi la password che ricostruirla
ogni volta 8-)


 OTFE (tipo pgpdisk, per intenderci, ma io uso cryptoloop). L'unità OTFE 
Ragioniamo allo stesso modo, a parte che affidarsi ad una penna USB per
tenere l'archivio delle password e' quanto di piu' pericoloso possa
immaginare!
A meno di ulteriori backup, ovvio.
	rischiatamente,
	   Cthulhu
-- 
http://www.rlyeh.it/Rantolii/

 Quello sempre.
Sigh.
	speratamente,
	   Cthulhu
-- 
http://www.rlyeh.it/Rantolii/

 A meno di ulteriori backup, ovvio.
Ovvio. ;)
Ne ho due. Periodicamente, semplicemente, copio il file che contiene 
l'unità crypto, senza neanche montarlo, sulla penna di riserva che sta 
in posto sicuro. ;)


 in posto sicuro. ;)
IMHO, fai troppo affidamento su queste penne USB. Io in cassaforte ci
metterei un CD-RW. :)
	preferitamente,
	    Cthulhu
P.S. E solo perche', al giorno d'oggi, trovare scalpellini e' diventato
difficile. Sopratutto quando, per motivi ovvii di sicurezza, li devi
murare insieme alla cassaforte.
-- 
http://www.rlyeh.it/Rantolii/