Mailinglist Archive: opensuse-de (3513 mails)

< Previous Next >
Re: ssh und public-key authentication
  • From: Michael Schachtebeck <michael.schachtebeck@xxxxxxxxxxxxxxxxxxxxxx>
  • Date: Mon, 20 Dec 2004 13:53:19 +0100
  • Message-id: <41C6CB3F.7050305@xxxxxxxxxxxxxxxxxxxxxx>
Am 12/20/2004 10:19 AM schrieb Axel Heinrici:

Ein Passwort ist per brute force mit etwas Geduld eventuell noch zu
knacken. Es ist hingegen praktisch aussichtslos einen private key zu
erraten.

Naja, das kommt drauf an. Wenn das Paßwort mindestens 8 Zeichen hat und
nicht in einem Wörterbuch vorkommt, das System so konfiguriert ist, daß
nach jedem Fehlversuch erstmal 3 Sekunden Pause eingelegt werden, und
wenn der Admin ab und zu mal in die Logfiles schaut, sehe ich da eher
eine geringe Gefahr (auch wenn es trotzdem möglich ist). Wirklich
gefährlich sind sehr kurze Paßwörter sowie Paßwörter, die im Wörterbuch
vorkommen (oder ein Admin, der nicht regelmäßig seine Logfiles sichtet).

Der Sicherheitsvorteil besteht also nur dann, wenn jemand nichts klauen
konnte (weder private key noch Passwort). Die Frage was sicherer ist
hängt somit davon ab, von was für Voraussetzungen man ausgeht. Wenn man
davon ausgeht, dass ein Angreifer deinen Rechner knacken kann ist das
Schlüsselverfahren tatsächlich unsicherer.

Genau den Fall meinte ich auch. Daß eine Authentifizierung mit Public
Key ohne jede Vorkenntnis (Private Key) schwerer zu knacken ist als eine
rein paßwortbasierte Authentifizierung ist klar.

Gnu ssh ist tatsächlich etwas unflexibel was die Speicherung privater
Schlüssel angeht. Es ist allerdings auch dabei mit etwas Bastelei
möglich für jeden Host einen eigenen Schlüsselsatz zu definieren, damit
ein Angreifer sich nicht nach erfolgreichem Hack auf jedem von dir
benutzten Host einloggen kann. Auch ein Hinterlegen der/des
Schlüssel(s) auf Diskette/ Memorystick ist grundsätzlich machbar.

Bei mir läuft OpenSSH_3.8p1, und da ist das eigentlich kein Problem;
einfach mit ssh-keygen verschiedene Schlüssel erzeugen (und natürlich in
unterschiedlichen Dateien speichern), und dann z. B. in
/etc/ssh/ssh_config angeben, welcher Schlüssel zu welchem Host gehört:

host router
hostname 1.2.3.4
user admin
IdentityFile /media/floppy/router_key

host webserver
hostname www.meine-domain.tld
user webmaster
IdentityFile /home/michael/.ssh/id_dsa2

Das bietet natürlich nur dann mehr Sicherheit als ein einzelner Key für
alle Server, wenn die Keys voneinander getrennt gelagert werden und/oder
durch unterschiedliche Paßwörter geschützt sind. ;)

MfG,

Michael.

< Previous Next >