Hallo Christian Frommeyer, hallo auch an alle anderen Dienstag, 4. April 2006 10:08 - Christian Frommeyer wrote: > Am Dienstag 04 April 2006 09:11 schrieb Matthias Houdek: > > Beim Passwort-Dialog wird ein Passwort übertragen, bevor die > > eigentlich gesicherte Verbindung steht. > > Ja, aber nur von der Tastatur zum SSH-Client. Ob das schlimmer ist, > als beim privaten Schlüssel, der von der Platte zum SSH-Client geht > wage ich zu bezweifeln. (Außer bei Funktastaturen...)
Es wird das verschlüsselte Passwort übertragen, aber (noch) nicht über eine gesicherte Verbindung. Mit Brute-Force-Attacke (der öffentliche Schlüssel des Servers wird mir ja übertragen ;-) hat man hier beste Angriffsmöglichkeiten. Oder man schafft es, sich als Angreifer in den Datenfluss der Verbindung zwischenzuschalten und schickt beim nächsten Verbindungsaufbau seinen eigenen öffentlichen Schlüssel ... ;-) Mal ehrlich, wer prüft schon, ob der beim Verbindungsaufbau angezeigte auch wirklich der echte ist? Die meisten werden wahrscheinlich nicht mal stutzig, wenn sie bei einem späteren Verbindungsaufbau erneut gefragt werden. > > Zusätzlich sind Passwörter > > gemein hin nicht so komplex wie ein RSA oder DSA-Schlüssel (man > > will sie ja auch halbwegs bequem tippen können ;-). > > Richtig. Auf der anderen Seite ist ein Passwort, das nur im > Gedächtnis gespeichert ist auch sicherer vor unbefugtem Zugriff > geschützt als ein Schlüssel auf Platte. Wenn jemand auf meiner Platte meinen privaten Schlüssel runterholen kann, habe ich schon ganz andere Probleme als das eines unauthorisierten SSH-Zugriffs (der ohnehin nie für root gestattet sein sollte). -- Gruß MaxX Bitte beachten: Diese Mailadresse nimmt nur Listenmails entgegen. Für PM bitte den Empfänger gegen den Namen in der Sig tauschen.
