Организация SSH-доступа по одноразовым паролям

[amarao]

Спасибо. Мельком про s/key читал в статьях про керберос, а что он есть в ssh не знал.

[maxcom]

это PAM-модуль, тут дело не в ssh

[vick]

Есть другой рецепт: едешь в отпуск — отключай телефон )

[amarao]

И? А оно не работает. Что делаем?

[DenisO]

Чувство юмора включаем перед чтением комментариев )

[ixSci]

Оно не работает, а мы об этом не знаем :)

[xn__p2a]

> едешь в отпуск — отключай телефон )

Всё правильно сделал! Нефиг из отпуска человека дёргать.
Зарезервировали серваки — зарезервируйте и админов!

[brick812]

Да, но ноут бери с собой-иначе какой же ты админ (;

[DenisO]

Предлагаю конкретизивовать! Заменить «с собой» на «с собой на пляж» )))

[bondbig]

+1. Плохо быть незаменимым. В крупных компаниях такого не бывает, кстати, непозволительный риск.

[VolCh]

>В любой серьезной компании иногда возникает необходимость в том, чтобы сотрудник, уехавший в отпуск, срочно выполнил свои должностные обязанности.

«Незаменимых людей нет» (с) Что будет делать «серьёзная компания», если «ключевой» сотрудник уехал в отпуск в Гималаи, Антарктиду или просто на дачу, где нет покрытия сотовых операторов? Не знаю, как в окрестностях «дефолт-сити» и Гималаев (откуда они взялись в башке, почему не Тибет, например? Неужто попса так влияет? Точно: «отпустите меня в Гималаи… где никто не коннектит ко мне» :D ), но в окрестностях «культурной столицы» такие дачи точно есть)?

А за статью спасибо, коллективный разум хабра как всегда телепат, на днях обсуждали методики генерации одноразовых паролей, кроме как до рандомного списка «в конверте» толком не дообсуждались:)

[vgray]

>Что будет делать «серьёзная компания», если «ключевой» сотрудник уехал в отпуск в Гималаи, Антарктиду

или сотрудника туда отпускать не будут, или он будет обязан вести подробную вики с описанием возможных проблем и из решениями.

[VolCh]

>или сотрудника туда отпускать не будут,

как это физически может выглядеть? домашний арест на время отпуска? Чур, охранники противоположного пола и посимпатичней :)

>или он будет обязан вести подробную вики с описанием возможных проблем и из решениями.

а в «серьёзных компаниях» этого (необязательно вики, а различных «политик» и «регламентов») до сих пор нет?

[shapa]

если _очень серьезная компания_ — то я например пользуюсь www.iridium.com/products/Iridium9555SatellitePhone.aspx?productCategoryID=1

если кто-то начнет выступать что это дорого — ерунда, аппарат стоит 1000 фунтов и минута менее доллара (дешевле роуминга GSM чаще всего)

[Scratch]

Перенесите в компьютерную безопасность, кармы у вас теперь хватает

[mugrigoriev]

Спасибо всем за карму, перенес.

[lehha]

Сложнова-то после логина еще выполнять команду.

В практике можно проще — сделать toor'ов штук 5 с разными паролями, после входа сразу passwd на случайные символы.

[mugrigoriev]

А «после входа сразу passwd» — это не команда после логина? Да и зачем плодить сущности без необходимости?

Но если вам проще вместо 1 пароля (секретной фразы для генерации ответа) запомнить 5 разных паролей, то я за вас рад, без шуток. Серьезно.

[lehha]

Везде дело привычки. Если будет удобно — почему бы и нет?

[0lympian]

Так кейлоггер может «прослушать» новый пароль, на который меняем ;)

[lehha]

Научитесь обманывать кейлогеры метровыми текстами)

[ryadzori]

но кроме кейлоггеров, «они» могут сниффать исходящий\входящий траффик

[lehha]

в ssh это бессмысленно

[TravisBickle]

Всегда «радовали» такие решения… юзали бы ключи с паролями к ключу и не парились бы. Ну и OpenVPN.
Конечно, никто даже не подумал подумать что будет если ноутбук украдут и данные скопи***дят.
Иногда складывается впечатление, что многие люди думают задницей…

[mugrigoriev]

S/key не претендует на всеобщую универсальность. У разных задач — разные решения. Для ситуации, описанной в статье, на мой взгляд, s/key — наиболее подходящее решение, но это не значит, что других решений, которые будут удобны другим людям, не существует.

[vitalyk]

1) я так понимаю что подразумевается что с собой ноута нет и поэтому заход с «левого» интернет кафе. нужный пароль можно получить либо по телефону, либо сгенерировать локально, например устанивив апп на телефон. для этого ноут не нужен

2) по пободу кражи ноута — не релевантно. если 'мастер' пароль не хранит, а вводить для генерации одноразового.

3) информационная проблема с кражей ноута решается просто. у меня вся «интересная» инфа включая ~/.ssh/ и все исходники находится на зашифрованном диске который маунтится при логине.

[flaresun]

Поставил truecrypt, создал зашифрованный раздел, закинул на него основное из home-диры и по поводу несанкционированного доступа не парюсь :)
Действительно достаточно удобно.

[onix74]

Спасибо! Взял на заметку.

[ryadzori]

спасибо за статью. Учту.В будущем надеюсь поможет)

[Deaddy]

Список одноразовых паролей — ну просто «Алекс — Юстасу» :)

[sleepnow]

Отсечение по подсети, таймаут при неверном вводе пароля ( секунд эдак 20… ), нестандартный порт… а еще лучше авторизация по ключам. Тоже вполне секурно :)

[ixSci]

Прочитайте еще исходные данные к статье, все о чем Вы говорите не может быть использовано при этих условиях.

[sleepnow]

Да, я прочитал, понимаю. Просто предложил один из самых распростр. и безопасных вариантов :)

[nedden]

Вот такое бы решение для gmail.

[logka]

«Лист с паролями можно спрятать поглубже в чемодан или скопировать на телефон в виде простого текстового файла. „
— отличная рекомендация. Не забудьте еще указать IP сервера и логин, на этом же листе.

[mugrigoriev]

Внимательно перечитайте всю статью.

[mugrigoriev]

Putty хорош, никто не спорит, но мобильная клавиатура совсем не всем удобна, да и gprs в роуминге может обойтись дороже часа в интернет-кафе.

В случае, когда необходима правка конфигов или иное использование текстового редактора, дисплей телефона из-за размера тоже может показаться непрактичным.

[mugrigoriev]

На мой взгляд, у схемы со сменой паролей с основного на временный и обратно есть недостаток: после использования пароля он (пароль) работоспособен некоторое, возможно малое, время, за которое злоумышленник (если он существует, конечно), может воспользоваться этим паролем. Race condition — опасная штука.

S/key же лишен этого недостатка.

Но сколько людей, столько и мнений. У каждого решения есть свои плюсы и минусы.