Es ist so ähnlich… Ich bin geschieden und habe eine lebensgefährliche Ex-Frau. Ich habe auch drei großartige Jungen, die wie die meisten Jungen vergesslich sein können, Dinge verlieren und die auch ihre Mutter lieben. Als meine Jungen alt genug wurden, um einen Schlüssel für mein Haus zu benötigen, hatte ich eine Entscheidung zu treffen: Benutze ich ein Schlüsselschloss oder einen dieser numerischen Tastenfelder? Wenn ich das Schlüsselschloss benutze, war es sicher, dass meine Söhne regelmäßig Schlüssel verlieren würden; Ich würde Anrufe bekommen, um von der Arbeit nach Hause zu kommen und sie hereinzulassen; und es bestand die große Möglichkeit, dass ich das Schloss ersetzen oder von Zeit zu Zeit neu verschlüsseln musste, da die Anzahl der "verlorenen Schlüssel" (oder die Wahrscheinlichkeit, dass meine vitriolische Ex-Frau jetzt einen besaß) eine unangenehme Grenze erreichte / p>

Obwohl es vielleicht nicht das sicherste der Welt ist, hatte ich mit dem numerischen Schloss keine Bedenken, dass die Schlüssel verloren gehen könnten. Ich könnte meinen Söhnen die Combo von der Arbeit schreiben (ohne nach Hause zu kommen), wenn sie es vergessen haben; und ich konnte es regelmäßig ändern, wenn ich das Gefühl hatte, dass es kompromittiert wurde. Ich konnte auch entscheiden, wie lange und / oder komplex ich es wollte. Wenn ich dachte, mein Ex hätte es, könnte ich es auch ändern. Viel einfacher und weniger Gesamtbetriebskosten.

Das Schlüsselschloss ähnelt PK. Die numerische Sperre ähnelt Passwörtern. Am Ende kann ich Ihnen sagen, dass ich mit der numerischen Sperre viel sicherer bin, weil ich mein eigenes Schicksal wähle und dies so dynamisch tun kann, wie ich möchte. Und denken Sie daran, die Realität ist, dass die Tür nur einer der Wege in mein Haus ist.

Bei der Kennwortauthentifizierung merkt sich der Benutzer das Kennwort und ist dafür verantwortlich, dass es niemandem mitgeteilt wird. Bei der Authentifizierung mit öffentlichem Schlüssel hat der Benutzer den privaten Schlüssel irgendwo als gespeichert .

Benutzer bevorzugen die schlüsselbasierte Authentifizierung, da die Verwendung in der Praxis bequemer ist (SSH) Clients verwenden den Schlüssel transparent, sodass der Benutzer keinen Aufwand hat. Die schlüsselbasierte Authentifizierung impliziert jedoch Folgendes:

• Der Benutzer verwaltet die Schlüssel selbst und welche Schlüssel akzeptiert werden oder nicht, indem er die öffentlichen Schlüssel in seine .ssh / autorisierte_Tasten file.
• Der private Schlüssel wird notwendigerweise irgendwo als Datei gespeichert, möglicherweise (aber nicht unbedingt) durch eine Passphrase geschützt.
• Die Wahl der lokalen Passphrase (oder deren Fehlen) ) ist für den Server-Systemadministrator völlig unerreichbar.

Einige Systemadministratoren bevorzugen die Verwendung der schlüsselbasierten Authentifizierung, da sie menschlichen Benutzern nicht vertrauen, wenn sie sich ein sicheres Kennwort merken. Sie glauben, dass die Sicherheit einer privaten Schlüsseldatei für durchschnittliche Benutzer einfacher zu gewährleisten ist als die Generierung und Verwendung eines sicheren Kennworts. Die meisten Systemadministratoren sind jedoch der Ansicht, dass private Schlüsseldateien eine offensichtliche Sicherheitslücke darstellen, während sie bei Kennwörtern über Schadensbegrenzungsmechanismen verfügen: Sie können "Kennwortregeln" durchsetzen, wenn das Kennwort ausgewählt wird, und Kennwörter können zentral blockiert oder zurückgesetzt werden, wenn sie dies wünschen. Es ist wirklich ein Gleichgewicht zwischen dem Vertrauen des Systemadministrators in die Benutzer (Vertrauen in ihre Kompetenz , nicht in ihre Ehrlichkeit ) und dem Kontrollfreak des Systemadministrators.

Passwörter

• können leicht vergessen werden.
• können leicht erraten / geknackt werden.
• können unterschiedliche Einschränkungen hinsichtlich der Zeichen haben Sie können verwenden, Länge ...
• werden sehr oft auf verschiedenen Diensten wiederverwendet.
• Haben Sie von einer durchgesickerten Kennwortdatenbank gehört?

Challenge-Response

• kann eine beliebige Anzahl von Herausforderungen umfassen (z. B. 3 Passwörter hintereinander eingeben)
• kann Einmalpasswörter unterstützen (OTP - http : //pdub.net/2012/01/03/one-time-passwords-pam/)

SSH-Schlüssel (oder API-Token)

• müssen nicht gespeichert werden (auf Ihrem Computer gespeichert).
• sind schwieriger zu erraten / zu knacken (im Vergleich zu Wörterbuchangriffen).
• müssen nicht freigegeben werden verschiedene Dienste.

Asymmetrie / Passwortstärke.

• Die meisten Lösungen für öffentliche / private Schlüssel verwenden asymmetrische Schlüssel (haben nichts anderes gehört, würden aber meine nicht setzen Geld dafür). Wenn Ihr öffentlicher Schlüssel kompromittiert ist, erhält ein Angreifer keinen Zugriff auf das System.
• Kennwortdatenbanken müssen in eine Richtung verschlüsselt sein. und eine, die stark genug ist oder genug Rechenzyklen verschwendet, so dass es schwierig wird, sie brutal zu erzwingen.

Workflow zurücksetzen

Die Verwendung von Passwörtern oder SSH-Schlüsseln ist hier irrelevant. Irgendwann wird ein Benutzer entweder sein Passwort vergessen (z. B. hatte er CAPS LOCK, als er es erstellt hat ...) oder sein System neu installieren (z. B. Zeitmaschine / Upgrades ...). Wie gehen Sie mit solchen Situationen um? Sie müssen das Kennwort / den Schlüssel ändern (vorausgesetzt, der vorherige ist kompromittiert) und dem Benutzer den neuen sicher mitteilen.

Siehe die akzeptierte Antwort. Wenn Ihr Kind versucht, in Ihr Haus zu gelangen. Die Herausforderung besteht darin, dass Sie zuerst bestätigen müssen, dass es Ihr Sohn ist (z. B. wenn Sie wissen, dass es sich um ihre Telefonnummer handelt, Sie ihre Stimme erkennen, das ist der Herausforderung Teil). Der häufig verwendete Workflow besteht darin, ein temporäres Passwort / Einmalpasswort zu generieren und Ihren Sohn das Passwort ändern zu lassen. Dies könnte jedoch durchaus sein: Geben Sie ihnen ein Einmalkennwort und lassen Sie sie ihren neuen SSH-Schlüssel / API-Token hochladen. Sie könnten sich sogar nicht die Mühe machen, sie ihre Anmeldeinformationen ändern zu lassen und sie nur aus der Ferne einzulassen, wenn Ihre Tastatur / Tastensperre angeschlossen ist.

Hinweis: Nichts hindert Ihre Ex-Frau daran, mit Ihrem Sohn zusammenzuarbeiten um Sie auszutricksen und Zugang zum Haus zu erhalten.

Welches ist besser?

Dies hängt von Ihrem Anwendungsfall und akzeptablen Verlusten ab. Da ein Benutzer beide Passwörter / SSH-Schlüssel / API-Token besitzt, kann der Benutzer sie freigeben. Wenn Sie die Kennwortauthentifizierung unterstützen und Kennwörter verloren gehen, müssen einige Ihrer Benutzer möglicherweise ihre Kennwörter auf externen Websites ändern - nur weil sie dieselben Kennwörter an anderer Stelle wiederverwenden. Wenn Sie öffentliche / private Schlüssel verwenden, müssen Sie sich weniger Sorgen machen.

Sie müssen nicht den einen oder anderen auswählen. Sie können beide verwenden! ZB. Sie können sowohl eine Tastensperre (Ihre persönliche Kopie) als auch ein numerisches Vorhängeschloss (Gäste) haben.

Passwörter können brutal erzwungen werden. Das Erraten eines öffentlichen Schlüssels ist so wesentlich unmöglich, dass sie als vollkommen sicher angesehen werden können. Kennwörter können nur einem pro Benutzer zugewiesen werden, während auf einem einzelnen Benutzerkonto mehrere Schlüssel installiert sein können. Wenn ich meinen Laptop verliere, muss ich nur den Eintrag für den Schlüssel meines Laptops in der Datei authorised_keys löschen, und auf dieses Konto kann ich von meinen anderen Geräten aus weiterhin mit eigenen Schlüsseln zugreifen. Einzelne Schlüssel können auch Befehlsbeschränkungen erhalten, wodurch eine automatisierte Verbindung ermöglicht wird, die einen bestimmten Befehl, jedoch keine vollständige Shell ausführt. Die einzige Möglichkeit, wie Kennwörter von Vorteil sind, besteht darin, den Zugriff auf ein vorhandenes Konto zu teilen, ohne sich anzumelden (um den neuen Schlüssel hochzuladen). Dies eröffnet die Sicherheitslücke, dass Sie dieses Kennwort ändern müssen, wenn Sie diesen Zugriff entfernen müssen, wenn ein Schlüssel individuell ist.

Interessantes Thema, für mich ist das Passwort das sicherste. Ich verwende 4 verschiedene Passwörter für verschiedene Dinge, abhängig von der erforderlichen Sicherheit. Zum Beispiel verwende ich für eine Site wie diese etwas wie (mexico1970), das mir egal ist, wenn es geknackt wird Da ich nur auf der Website poste und keine Kreditkarteninformationen oder andere wichtige Informationen zum Schutz vorhanden sind, habe ich ein anderes Passwort für wichtigere Probleme, z. B. für E-Mails wie (!! carmelita.99), dann habe ich eines für den Serverbenutzerzugriff (XrE.67-73up), dann einen anderen für den Rootzugriff und für Bankkram (!!. CeRto-49er), dann stelle ich sicher, dass ich diese Passwörter nicht aufschreibe, ich merke sie mir, wenn ich mich mit meinem verbinde Server Ich stelle sicher, dass der SSH-Fingerabdruck bereits zu meinen bekannten Hosts hinzugefügt wurde. Andernfalls kann es zu einem MITM-Angriff kommen. Stellen Sie außerdem sicher, dass das TLS / SSL-Zertifikat der Bank gültig ist, und geben Sie niemals Kennwörter weiter.

Was ich Hass sind jene Dienste, bei denen Sie ein Passwort festlegen müssen, das so unmöglich ist, dass Sie es schreiben müssen wn oder andere, die Passwortrichtlinien haben, bei denen ich jeden Monat ein anderes Passwort verwenden muss und die letzten 5 verwendeten Passwörter nicht verwenden kann, das ist einfach dumm, da es keine Sicherheit gibt, die Passwörter aufzuschreiben. Das Ändern von Passwörtern ist etwas Gutes, aber Es sollte nicht erzwungen werden. Andererseits können Zertifikate verloren gehen oder sogar kompromittiert werden. Denken Sie, Sie haben jemanden mit Zugriff auf Ihren Computer, der Keylogger installieren kann, oder er könnte auch die Zertifikate erhalten. Es gibt also nichts, was Sie schützt, aber Zertifikate sind sicher nicht sicherer als Passwörter. Bei Servern bekomme ich ein Gefühl der Sicherheit, wenn mehrere Mechanismen eingestellt sind. Nehmen wir an, ein VPN für den Zugriff auf einen Computer, von dem aus Sie über SSH eine Verbindung zu Ihren Servern herstellen können. Vielleicht, aber noch nie gehackt worden.

Prost, ich mag eine Seite, auf der ich ohne Passwörter posten kann.