¿Tener una frase de contraseña y una clave SSH califican como autenticación de dos factores para PCI?

7

Estoy trabajando para que los servidores de nuestra empresa cumplan con la norma PCI SAQ-C (los datos de la tarjeta de crédito pasan a través de nuestro sistema, pero nuestro sistema no los almacena). Tenemos acceso SSH para administrar los servidores y todos los inicios de sesión usan claves SSH para autenticarse.

Si requiero que todas las claves tengan una frase de contraseña (algo que sepa) y la clave (algo que tiene) ¿cumple con los requisitos para el cumplimiento de PCI? Leí la documentación de autoevaluación, pero no estaba claro el tema.

    
pregunta Josh Moore 05.12.2012 - 04:17
fuente

2 respuestas

9

Si una clave SSH está protegida por una frase de contraseña, entonces simplemente se cifra con esa frase de contraseña. No hay un componente de autenticación adicional. Es decir, puede descifrar la clave del lado del cliente (y almacenar la clave descifrada), y el servidor nunca lo sabrá. De hecho, muchos usuarios usan "agentes clave" que le permiten ingresar su frase de contraseña de descifrado solo una vez, y el material clave se recuerda durante la sesión de inicio de sesión de la estación de trabajo.

Sin embargo, puede requerir en el servidor SSH tanto una frase de contraseña como una clave SSH, donde la frase de contraseña es la contraseña de usuario normal de su servidor. Si su clave SSH está encriptada (y no está usando un agente clave), entonces esto es en realidad dos contraseñas requeridas al iniciar sesión; Una para tu llave y otra para tu servidor. Probablemente esté más cerca del espíritu de la autenticación de dos factores.

Hay muchos que dirían, sin embargo, que el material clave en su computadora todavía es "algo que usted sabe", ya que es infinitamente copiable. En cambio, "algo que tienes" sería un token de hardware que no se puede duplicar. Es posible implementar claves SSH usando tokens de hardware, suponiendo que el token sea compatible con las claves RSA. Sin embargo, esto puede tardar un poco en configurarse.

    
respondido por el tylerl 05.12.2012 - 07:22
fuente
3

Para responder a su pregunta de manera simple, no, no lo hace, ya que PCI requiere la autenticación multifactor. El cifrado de su contraseña no está incorporando otro factor. (algo que eres, algo que tienes, algo que sabes)

Sin embargo, SSH es uno de los requisitos para las sesiones de consola a los dispositivos, ya que uno de los requisitos es que las sesiones no se envíen en texto sin formato.

    
respondido por el matt marcaccini 05.12.2012 - 23:36
fuente

Lea otras preguntas en las etiquetas