SSH + plain password

[Marcel Kolaja]

On Wed, 19 Jul 2000, Petr Novotny wrote:

> On 18 Jul 00, at 19:12, Marcel Kolaja wrote:
> 
> > jménem a heslem versus RSA klíčem. Když se budete chtít přihlásit přes
> > všechna možná hesla, stanete se asi podezřelým.
> 
> Podezrelym se mozna stanu, pokud nekdo cte logy pravidelne.
> Pokud se dovnitr prolousknu rychleji nez si root neceho vsimne,
> logy nemuseji zustat na svych mistech :-)

Ale potřeboval byste teda pořádnou mašinu (nehledě na to, že server by
musel být taky pořádná raketa). :-)

> > Čili to, že je autentikace RSA klíčem bezpečnější než autentikace
> > jménem a heslem, je IMHO v tom, že zatímco v případě autentikace
> > jménem a heslem běží po síti heslo (byť zašifrované, ale mohu ho
> > odposlechnout a použít slovníkový útok nebo útok hrubou silou)
> 
> Moment, vy umite utok hrubou silou proti 3desu nebo BlowFishi?
> To se teda pochlubte. A jak pouzijete slovnikovy utok proti heslu
> zasifrovanemu neznamym klicem?

A jéje, to jsem se zase nechal jednou unést :-( Šlo mi spíš o ten rozdíl,
že při autentikaci RSA klířem nejde po síti vůbec heslo. Až mi někdy vyjde
čas, prozkoumám ty algoritmy a zlomím je. ;-)

> Utok proti heslu prenasenemu pres ssh je (v pripade spravne
> implementace) ekvivalentni utoku proti klici spojeni. Je-li klic 128bit

Ano souhlas, trochu jsem si neuvědomil, jak se ta hesla přenášejí.

> > v
> > případě autentikace RSA klíčem neběží po síti ani heslo, ani klíč, ale
> > jen nějaká náhodná čísla).
> 
> Zase muzu (naprosto nepozorovane) utocit proti verejnemu klici -
> pokouset se o jeho faktorizaci.

Nevím jak přesně ten útok probíhá, ale nedovedu si teď představit, co
budete faktorizovat při znalosti zašifrovaného náhodného čísla a jeho
nějakého kontrolního součtu (nebo co to tam vlastně teče).

> Vy mi porad asi nerozumite: Typicke heslo je "prdel" nebo "karel"
> nebo "0609112777" (nebo je treba napsane na papirku); typicky
> RSA klic je soucin dvou nahodnych prvocisel. K "normalnimu"
> heslu se dokazu dostat jinymi metodami (odkoukanim pres
> rameno, prohledanim pracovniho stolu apod.), k privatnimu RSA
> klici dost mozna mnohem obtizneji (a neuhodnu ho).

Ano, s tím naprosto souhlasím (a snad Vám už rozumím :-)), já samozřejmě
taky používám autentikaci RSA klíčem (i když nemám heslo ani prdel, ani
karel :-)).


S pozdravem

       Marcel Kolaja (Metal Magic The Ace Of Aces)
             http://www.fi.muni.cz/~xkolaja/
---------------------------------------------------------
   "Sometimes love's a loaded gun and shoots to kill."
                      Alice Cooper