Ein zweiter Faktor wird als unabhängig vom ersten Faktor definiert. Das bedeutet, dass Ihr System sicher bleiben sollte, auch wenn einer der Faktoren gefährdet ist (und Sie sich des Kompromisses bewusst sind).

Beispielsweise sind ein Türausweis und ein Fingerabdruck unabhängig voneinander und gerecht Es reicht nicht aus, den Türausweis oder den Fingerabdruck zu haben, um Zugang zu erhalten. Dies wird häufig als "Mehrschrittauthentifizierung" anstelle von "Mehrfaktorauthentifizierung" bezeichnet.

Stellen Sie sich nun Ihr Szenario vor: Sie haben einen privaten Schlüssel, der mit einer starken Passphrase verschlüsselt ist. Sind das zwei Faktoren? Nein, da der private Schlüssel auch ohne Passphrase existieren kann. Ein Angreifer, der den privaten Schlüssel kompromittiert, kann sich somit bei Ihrem System anmelden, auch ohne diese Passphrase zu kennen. Tatsächlich weiß der Server überhaupt nicht, ob Ihr privater Schlüssel durch eine Passphrase geschützt ist oder nicht.

Wenn Sie eine echte Multi-Faktor-Authentifizierung wünschen, gibt es SSH-Module, die genau das tun Das. Ein mit einem sicheren Kennwort verschlüsselter privater Schlüssel reicht jedoch häufig aus.

Hinweis: In der ursprünglichen Frage geht es um "einen SSH-Schlüssel mit einer Passphrase" auf einem Server anmelden ", den ich als privaten Schlüssel interpretiert habe, verschlüsselt mit einer Passphrase.

Ja

2FA erfordert zwei verschiedene Faktoren oder Kategorien der Authentifizierung. (Es müssen verschiedene Kategorien sein; ein Passwort und eine PIN werden nicht als 2FA betrachtet.)

Wikipedia bietet eine große Liste von Faktoren:

• Wissensfaktoren: Passwort, PIN, geheime Fragen
• Besitzfaktoren:
  • Nicht verbundene Token (lesbar): Google Authenticator
  • Verbundene Token (maschinenlesbar) : YubiKey
  • Softwaretoken: X.509-Zertifikat, privater SSH-Schlüssel
• Inhärente Faktoren:
  • Biometrie: Fingerabdruck, Stimme, Iris
  • Verhalten: Tastenanschläge, Signatur
• Ort: physisch gesicherte Netzwerke

Ihr Passwort ist ein Wissensfaktor ;; Ihr SSH-Schlüssel ist ein Besitzfaktor.

Beachten Sie, dass die einfache Vervielfältigung nicht ausschließt, dass ein SSH-Schlüssel ein Besitzfaktor ist. Physische Schlüssel können mit einer Kamera, einem Drucker und einer Getränkedose kopiert werden. Sie sind immer noch ein Besitzfaktor.

Der Zweck der Multi-Faktor-Authentifizierung besteht darin, die Vorteile mehrerer Authentifizierungstypen zu nutzen und das Risiko von Kompromissen zu verringern.

Ihr Kennwort ist kurz genug, dass es nie geschrieben wird und daher schwer zu bekommen ist. Ihr SSH-Schlüssel ist lang und daher schwer zu erraten.

Zusammen machen sie einen erfolgreichen Angriff weniger wahrscheinlich.

BEARBEITEN: Mehrere Personen sind der Meinung, dass der Schlüssel nicht mehr 2FA ist, da er unverschlüsselt verwendet werden könnte.

Das ist einfach absurd.

Wenn Sie einen unverschlüsselten SSH-Schlüssel erstellen können, ohne zwei Faktoren zu gefährden, und diese Informationen dann verwenden, um zu behaupten, dass dies alles ist, was erforderlich ist, warum sparen Sie sich nicht etwas Arbeit und bringen Kopien der Serverdateien ins Leben?

Die Angabe

Für den Zugriff auf die Serverdateien ist lediglich ein unverschlüsselter SSH-Schlüssel erforderlich.

unterscheidet sich nicht von der Angabe

Für den Zugriff auf die Serverdateien benötigen Sie lediglich eine ZIP-Datei der Serverdateien.

Aber wie haben Sie diesen Schlüssel / diese Postleitzahl erhalten? Sie mussten mehrere Faktoren kompromittieren. (Oder Sie fügen eine Hintertür hinzu, z. B. den Zugriff auf den Serverraum.)

Es stimmt, dass es sich nicht um eine serverdurchsetzbare Verwendung von 2FA handelt. In einer organisatorischen Umgebung ist es häufig erforderlich, dass die 2FA zentral durchsetzbar ist. Aber

1. Das ist nicht die Frage.

2. Server-Durchsetzung ist sowieso nie das letzte Wort eines Sicherheitssystems.

   Wenn für eine Tür ein physischer Schlüssel und eine Tastatur-PIN erforderlich sind, "erzwingt" diese Tür 2FA so weit wie möglich. Wenn Sie jedoch die PIN auf alle Schlüssel drucken, haben Sie ein 1FA-System.

3. Ebenso können Sie die Faktoren erhöhen. Ein passwortgeschützter Laptop hinter einer Tür mit einem physischen Schlüssel ist 2FA, obwohl es keine einzige Komponente gibt, die beide Faktoren erzwingt. Sie können den Laptop aus dem Raum entfernen und die Sicherheit auf 1FA reduzieren. Bis dahin gibt es jedoch ein 2FA-System.

ol> ol>

---

EDIT2: Diese Antwort erklärt auch, warum die übliche Praxis eines separaten passwortgeschützten Verschlüsselungsschlüssels - was ein SSH-Schlüssel ist - zwei Faktoren sind: der Schlüssel (etwas, das Sie haben) und das Passwort (etwas, das Sie wissen). Jemand muss beides erhalten, um einen bloßen Verschlüsselungsschlüssel zu erstellen, der für den Datenzugriff benötigt wird.

Nein . Andere Antworten sind ziemlich nah beieinander, aber es fehlt ein wichtiger Faktor.

Ich werde nicht im Detail wiederholen, was andere sagen. Fassen Sie einfach zusammen, dass SSH-Schlüssel + Passwort in Ihrem Fall ein Multi-Faktor sein müssen Sei "etwas, das du weißt" + "etwas, das du besitzt".

Ich würde argumentieren, wenn du nur Wissen brauchst, um "etwas, das du hast" effektiv zu replizieren (damit niemand etwas sagen kann Das ist das Original und das ist die Kopie. Dann ist es nicht "etwas, das Sie haben", sondern "etwas, das Sie wissen".

Wenn ich mich beispielsweise nicht an mein Passwort erinnern kann und es auf ein geschrieben habe Stück Papier, es hört nicht auf, "etwas zu sein, das ich weiß" und wird "etwas, das ich habe". Es ist immer noch nur ein Passwort (auch wenn es schwer zu merken ist), und sobald jemand es lernt, kann er sich jederzeit als ich ausgeben, ohne dass ich es weiß. Dies gilt auch für den privaten SSH-Schlüssel. Es sind nur Daten, und Daten sind per Definition "etwas, von dem Sie wissen (und mühelos eine exakte und nicht unterscheidbare Kopie davon erstellen können)".

Das Hauptmerkmal dafür, dass etwas "etwas ist, das ich habe", ist Wie schwer es ist, von nicht anerkannten Dritten zu kopieren, da das Hauptmerkmal von effektivem "etwas, das ich habe" ist, dass der Angreifer es nur realistisch haben kann, wenn ich es nicht mehr habe ( Ich muss feststellen, dass ich es vermisse.

Natürlich gibt es viele viele Grauzonen , wie in einigen Beiträgen erwähnt. CHIP-Bankkarten wären heute "etwas, das ich habe", da es nicht möglich ist (ohne viel Aufwand, Menschen und Geld), ein authentisches Arbeitsduplikat zu erstellen. Eine Bankkarte, die nur von magstripe autorisiert wurde und von der jeder Kassierer mit 25 USD Ausrüstung und 1 USD Material eine Kopie erstellen kann, ist jedoch nicht mehr effektiv "etwas, das ich habe". P. >

Mit fortschreitender Technologie ändern sich auch die Definitionen. Es war einmal, MD4 war Cryptohash. Heutzutage ist es definitiv NICHT - es ist nur ein Hash, nicht besser als ein Cryptohash als eine einfache Prüfsumme.

"Privater SSH-Schlüssel + Passphrase" ist also an zwei Fronten keine Zwei-Faktor-Authentifizierungsmethode:

1. Der private SSH-Schlüssel ist nur eine Information und kein physisches Objekt Definition "etwas, das Sie wissen" und nicht "etwas, das Sie haben".
2. Kann ein Authentifizierungsfaktor, der einen Angreifer nicht erfolgreich authentifizieren kann, dennoch als Authentifizierungsfaktor bezeichnet werden? Wenn Ihr Server eine maximale Kennwortlänge von 1 Zeichen und keine Begrenzung der Anzahl der Versuche erzwingt, ist dies immer noch ein Authentifizierungsfaktor? In der strengen Theorie mag es sein, aber in der Praxis ist es nur Sicherheitstheater.
ol>

Beachten Sie, dass dies nicht bedeutet, dass ssh privater Schlüssel + Passphrase schlecht ist: Es ist viel besser als ein einfaches Passwort oder ein ungeschützter privater Schlüssel. Aber es ist kein 2-Faktor.

Wenn Sie jedoch zusätzliche Sicherheit durch Zwei-Faktor-Authentifizierung in ssh wünschen, können Sie die 2-Faktor-Authentifizierung in ssh einrichten, vorzugsweise Zusätzlich zum Schutz des privaten Schlüssels mit einer Passphrase.

Aus Sicht des Dienstes: Nein, ein passphrasengeschützter privater SSH-Schlüssel ist keine Multifaktorauthentifizierung.

Der SSH-Server kann nicht feststellen, ob der private Schlüssel verschlüsselt ist oder nicht nicht, und kann auf keinen Fall wissen, wie diese aktuelle Passphrase aussehen könnte. Der Server kann am ehesten die Passphrase erfassen, wenn das Schlüsselpaar auf dem Server generiert wird. (Dies wäre sehr ungewöhnlich, und ich würde die Sicherheit jedes Systems in Frage stellen, das dies tut.) Sobald der private Schlüssel den Server verlassen hat, kann er jedoch nur behaupten, dass irgendwann jemand die Passphrase verwendet hat entschlüsseln Sie den Schlüssel. Der Server weiß nicht, ob er vor Sekunden im Rahmen der Authentifizierung entschlüsselt wurde oder ob sich sein privater Schlüssel derzeit vollständig unverschlüsselt auf der Festplatte des Clientcomputers befindet.

Es empfiehlt sich also, den privaten Schlüssel zu verschlüsseln Schlüssel mit einer Passphrase, der Authentifizierungs-Handshake zwischen Client und Server verwendet diese Passphrase nicht, daher ist die Passphrase nicht Teil der Authentifizierung.

Ob der private Schlüssel ist oder nicht oder etwas, das Sie wissen, Ich behaupte, es ist etwas, das Sie haben, weil Sie den privaten Schlüssel nicht direkt an den Server übergeben, sondern beweisen, dass Sie den privaten Schlüssel haben:

Der Authentifizierungs-Handshake sieht folgendermaßen aus:

1. Der Client wählt einen zu verwendenden Schlüssel aus und sendet die Schlüssel-ID an den Server.
2. Der Server erhält die Öffentlichkeit Der Schlüssel aus ~ / .ssh / authorized_keys generiert eine Nonce und verschlüsselt sie mit diesem öffentlichen Schlüssel.
3. Der Client entschlüsselt die Nonce mit seinem privaten Schlüssel und dann mit MD5 hascht es mit der gemeinsam genutzten Sitzung als Salt.
4. Wenn der Server den erwarteten Hash zurückerhält, wird der Benutzer authentifiziert.

Dies ist ein anderer Vorgang als das Übergeben eines Kennworts. Sie beweisen mehr als nur Wissen, Sie beweisen, dass Sie über ein System verfügen, das eine mit einem bestimmten öffentlichen Schlüssel verschlüsselte Nachricht entschlüsseln kann.

In Bezug auf physische Sicherheit etwas, das Sie kennen würde mit einer Challenge-Response implementiert: Der Wächter ruft ein Wort und Sie antworten. (Dies authentifiziert auch den Wachmann. Geben Sie niemandem das Passwort des Tages, nur weil er eine Uniform trägt.)

Ähnlich wie bei der physischen Sicherheit etwas, das Sie haben ist ein Schlüssel. Ja, der Schlüssel enthält Informationen, die leicht zu kopieren sind und sogar gespeichert werden können. Wenn diese Daten jedoch nicht in ein physisches Objekt geschnitten werden, sind die Daten nicht gut. Mit einem Schlüssel beweisen Sie mehr als nur Wissen, Sie beweisen, dass Sie ein Objekt haben, das die Stifte des Tumblers auf die richtige Höhe heben kann. Und genau wie die Passphrase eines privaten Schlüssels nicht Teil der Authentifizierung ist, ist es auch nicht Teil der Authentifizierung, ob das zum Drehen des Tumblers verwendete Werkzeug der beabsichtigte Schlüssel, eine Kopie oder ein Satz von Sperrpicks ist.

Nun, es gibt ein paar Antworten, die richtig sind, aber wo die nachfolgenden Argumente in den Kommentaren zeigen, dass sie nicht klar genug sind, denke ich, dass es immer noch Raum gibt, den folgenden wichtigen Punkt hervorzuheben:

• Die Multi-Faktor-Authentifizierung ist eine Authentifizierungsrichtlinie, bei der der Prüfer vom Antragsteller mehrere (und im Idealfall unabhängige) Authentifizierungsfaktoren verlangt.

Hier sind einige Einstellungen festgelegt Art von Authentifizierungsprotokoll mit zwei Parteien:

1. Ein Antragsteller , der eine bestimmte Identität beansprucht und diese nachweisen muss;
2. Ein Prüfer , der versucht, die beanspruchte Identität zu bestätigen und Imitatoren abzulehnen.
ol>

In SSH ist der Antragsteller der Kunde und der Prüfer der Server. In der gängigsten Konfiguration verlangt der Server nicht, dass der private Schlüssel des Clients mit dem Kennwort verschlüsselt wird. Dies bedeutet, dass kein MFA ist. Es liegt nur im Ermessen des Kunden, seinen privaten Schlüssel zu verschlüsseln.

Zusätzlich zur Antwort von @ MechMK1 fällt der 'Faktor' in den Authentifizierungsmechanismen in drei Kategorien:

1. Etwas, das Sie wissen - Passwörter, PIN
2. Etwas, das Sie wissen have - Kreditkarten, USB-Laufwerke
3. Etwas über Sie - Bio-Metriken, Gesichtserkennung
ol>

Wenn Sie jetzt 2FA möchten, müssen Sie aus jeder Kategorie eine auswählen. Z.B. Fingerabdruck plus Passwort, Kreditkarte plus PIN usw. usw. Zwei Faktoren aus derselben Kategorie zu haben, ist so gut wie nur einen. Z.B. Zwei Passwörter zählen nicht als 2FA.

Um auf Ihre Frage zurückzukommen: SSH-Schlüssel und Passphrase gehören ebenfalls zu "Etwas, das Sie wissen" und zählen daher nicht als 2FA.

Nein. Sie sind keine unterschiedlichen Faktoren. Ein verschlüsselter SSH-Schlüssel ist nicht "etwas, das Sie haben", da es sich nicht um ein Objekt handelt, das Sie physisch steuern müssen (es ist jedoch immer noch viel besser als ein einfaches Kennwort).

Andererseits a Der SSH-Schlüssel, der auf einem USB-Authentifizierungsgerät (einem Yubikey, U2F ...) gespeichert wurde, würde als zweiter Faktor gelten.