Detectar el uso de la contraseña en una clave pública RSA (SSH)

Question

Detectar el uso de la contraseña en una clave pública RSA (SSH)

#1 de Gilles (4 votos)

3

Tenemos un colaborador que especifica en el paso para crear una clave SSH:

No está permitido utilizar una frase de contraseña vacía. Consideramos una frase de contraseña vacía como una violación de las políticas de seguridad elementales y excluiremos a cualquier usuario que lo haga por un uso posterior de nuestros sistemas.

Utilizo una pequeña tarjeta inteligente GPG (Yubikey) que está protegida únicamente por un PIN y cuando la llevo en mi llavero. Sin embargo, la clave privada en sí misma, a mi entender, no está encriptada en la propia tarjeta. Sé que una clave protegida con contraseña (privada) se almacenaría encriptada en mi disco duro, mientras que una clave sin contraseña se almacenaría en un formato simple.

Mi pregunta: como nunca verán mi clave privada, me pregunto si es posible "oler" (a través de ssh ) si mi clave privada está encriptada o no.

ssh rsa

pregunta MrD 29.07.2017 - 13:36

fuente

1 respuesta

Lea otras preguntas en las etiquetas ssh rsa

¿Es siempre seguro (virus / malware / spyware) descargar archivos de video / música (torrent, lbry)? [cerrado] ¿Adobe Acrobat Reader DC carga archivos PDF abiertos?

score 4 · Accepted Answer

No es posible que el servidor detecte cómo se almacena la clave. El servidor solo ve el resultado de un cálculo matemático relacionado con la clave. La forma en que el cliente clave obtiene la clave está completamente fuera del control del servidor.

En teoría, el servidor podría realizar un análisis de tiempo para tratar de adivinar si la clave está protegida por contraseña. Sin embargo, es una práctica común almacenar la clave en la memoria usando ssh-agent , en cuyo caso el servidor solo medirá el tiempo que le toma al agente proporcionar la clave; el servidor aún no tendría visibilidad sobre cómo se cargó la clave en el agente.

Dado que la política es sensata, almacenar la clave en una tarjeta inteligente es una seguridad bastante mejor que almacenarla en un disco duro con protección por contraseña. (Por supuesto, esa no es una comparación universal. Si tiene muy buena memoria para contraseñas complejas pero tiende a perder su billetera y la tarjeta está mal diseñada, es probable que sea más difícil obtener una clave protegida con contraseña. Pero la mayoría de la gente cuidar mejor lo que tienen que lo que saben.

Por supuesto, si el administrador del servidor aplica la política a ciegas sin entender el razonamiento, es posible que tenga problemas. Si se trata de eso, puede argumentar que la clave está protegida por el PIN. (La tarjeta hace un mejor trabajo de protección, es por eso que un PIN es suficiente: una contraseña de 4 dígitos es una seguridad ridícula si el atacante tiene acceso al archivo cifrado. Solo lo digo en caso de que se encuentre con un administrador incompetente. )