Re: User-password y/o OTP
El Thu, 06 Sep 2012 18:57:22 +0200, Troans escribió:
> tengo un servidor que se usa, básicamente, como repositiorio de
> información y subversion entre varios usuarios de un grupo. Sin embargo
> sería útil poder facilitar usuarios temporales, externos al grupo, que
> pudieran acceder a un cierto directorio donde poder bajar o subir algún
> fichero mediante scp/sftp.
>
> La primera idea que se me ha ocurrido es crear los usuarios según se
> necesiten según las necesidades pertenecientes a un grupo determinado y
> establecer un tiempo para que expire la contraseña del mismo (10 días,
> por ejemplo).
No es mala idea: fácil de implementar para ti y de usar para ellos.
> Sin embargo, googleando un poco he visto lo de One Time Password (OTP) y
> no me ha parecido una idea descabellada ya que, aunque los usuarios
> temporales son personas conocidas y confiaría en que siempre accederían
> desde la empresa o su casa, no descartaría que pudieran hacerlo desde
> cualquier sitio.
>
> Y mis preguntas son las siguientes:
>
> 1) ¿Es ir demasiado lejos en materia de seguridad el tratar de usar OTP?
No veo por qué... en cuestión de seguridad más vale prevenir.
Lo único que necesitarías es un generador de contraseñas que estuviera en
posesión de los usuarios (hay llaves con esta función pero son soluciones cerradas)
y sincronizado con tu sistema pero hay implementaciones majas para móviles incluso:
http://blog.dhampir.no/content/otp-one-time-passwords-on-debian-squeeze-ssh-logins
http://www.worksinmymind.com/blog/?p=1083
> 2) En caso usar OTP, ¿es posible usar simultaneamente el actual sistema
> de acceso basado en usuario/contraseña (algunos usuarios usan clave
> asimétrica) para los usuarios del grupo y OTP para los usuarios
> temporales?.
Esto ya no lo sé... lo que sí podrías es hacer es configurar el servidor
ssh para que aceptara ambos (autentificación mediante otp y usuario/
contraseña). Los usuarios otp no tendrían cuenta en el sistema así que
sin validación otp no pasarían, mientras que los otros tendrían se les
preguntaría por la contraseña aleatoria y al no tenerla se pasaría a la
autentifiación convencional.
> 3) ¿Alguna alternativa?
Tu primera opción tampoco me parece mal, es más práctica y la contraseña
cambiante se la podías generar automáticamente desde algún servidor web
previa autentificación, mediante SMS o a través de correo electrónico firmado
y cifrado.
Saludos,
--
Camaleón
Reply to: