Re: Passwortloses SSH (was Re: rsync und ssh-Tunnel)
On Thu, 12 Sep 2002 22:14:31 +0200, Jens Benecke
<debian-user-german@jensbenecke.de> wrote:
>Du setzt prinzipiell die Sicherheit aller Rechner, die den öffentlichen
>Key als Autorisierung sehen, auf den Level des Rechners runter, der den
>privaten Schlüssel beherbergt. Das ist keine Sicherheitslücke, sondern
>bloss eine andere Art der Sicherheit.
Schlüssel liegen oft auf Arbeitsplatzrechnern, und die liegen
naturgemäss auf einem geringeren Sicherheitslevel als Server. X,
Webbrowser, MP3-Player, das sind alles Programme, die den
Sicherheitslevel eines Arbeitsplatzrechners nachteilig beeinglussen.
>
>Ein Angreifer muss jetzt keine Passwörter mehr versuchen rauszukriegen
>oder exploits ausprobieren, sondern in den ganz bestimmten Rechner mit
>ssh-private-key (den er üblicherweise noch nicht mal kennt - woher auch)
>einbrechen - und wie geht er dabei vor? Genau: Indem er Passwörter
>versucht rauszukriegen oder exploits ausprobiert.
Deswegen ist ein ssh-Key auch dann zu schützen, wenn er durch eine
Passphrase geschützt ist: Wer ihn hat, kann ganz gemütlich auf eigenem
Rechner bruteforcen, ohne dass beim Opfer irgendwelche Alarmglocken
schrillen.
Selbst die Verwendung von ssh-agent stellt ein Sicherheitsrisiko dar.
Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Karlsruhe, Germany | Beginning of Wisdom " | Fon: *49 721 966 32 15
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fax: *49 721 966 31 29
Reply to: