Re: Sicherheit vorm bösen Internet
Hallo Christian Frommeyer, hallo auch an alle anderen
Dienstag, 4. April 2006 10:08 - Christian Frommeyer wrote:
> Am Dienstag 04 April 2006 09:11 schrieb Matthias Houdek:
> > Beim Passwort-Dialog wird ein Passwort übertragen, bevor die
> > eigentlich gesicherte Verbindung steht.
>
> Ja, aber nur von der Tastatur zum SSH-Client. Ob das schlimmer ist,
> als beim privaten Schlüssel, der von der Platte zum SSH-Client geht
> wage ich zu bezweifeln. (Außer bei Funktastaturen...)
Es wird das verschlüsselte Passwort übertragen, aber (noch) nicht über
eine gesicherte Verbindung. Mit Brute-Force-Attacke (der öffentliche
Schlüssel des Servers wird mir ja übertragen ;-) hat man hier beste
Angriffsmöglichkeiten.
Oder man schafft es, sich als Angreifer in den Datenfluss der Verbindung
zwischenzuschalten und schickt beim nächsten Verbindungsaufbau seinen
eigenen öffentlichen Schlüssel ... ;-)
Mal ehrlich, wer prüft schon, ob der beim Verbindungsaufbau angezeigte
auch wirklich der echte ist? Die meisten werden wahrscheinlich nicht
mal stutzig, wenn sie bei einem späteren Verbindungsaufbau erneut
gefragt werden.
> > Zusätzlich sind Passwörter
> > gemein hin nicht so komplex wie ein RSA oder DSA-Schlüssel (man
> > will sie ja auch halbwegs bequem tippen können ;-).
>
> Richtig. Auf der anderen Seite ist ein Passwort, das nur im
> Gedächtnis gespeichert ist auch sicherer vor unbefugtem Zugriff
> geschützt als ein Schlüssel auf Platte.
Wenn jemand auf meiner Platte meinen privaten Schlüssel runterholen
kann, habe ich schon ganz andere Probleme als das eines
unauthorisierten SSH-Zugriffs (der ohnehin nie für root gestattet sein
sollte).
--
Gruß
MaxX
Bitte beachten: Diese Mailadresse nimmt nur Listenmails entgegen.
Für PM bitte den Empfänger gegen den Namen in der Sig tauschen.
Reply to: