Проверка пароля обеспечивает несколько уровней безопасности.
Зашифрованные SSH туннели и открытая проверка ключа — два распространенных способа убедиться, что ваш пароль не будет нарушен во время перехода на сервер.
Но что если компьютеру, на котором вы сейчас работаете, нельзя доверять?
И это не просто щит для особо тревожащихся пользователей Linux. В жизни часто случается, когда вам приходится заходить на какие-то сайты под своим именем, но так не желательно вводить свой пароль.
Например:
- Общественны компьютер в отеле, библиотеке или интернет-кафе;
- Зараженный вирусом компьютер коллеги;
- Общая рабочая станция во время группового проекта;
- Любое место, где кто-нибудь может подсмотреть ваш пароль.
Что общего у всех этих примеров? Вы пытаетесь подключиться к доверенному серверу с ненадежного источника. И это основная проблема, которую призваны решить большинство аутентификационных систем.
Возьмем открытый ключ доступа и купим диплом специального назначения. Такой вариант аутентификации обходит запрос пароля на удаленном хосте, но по прежнему требуется доверие используемому компьютеру.
Кроме того, как только ключ шифруется с паролем, локальная система получает полный доступ к конфиденциальному содержимому вашего аккаунта.
Но к счастью для этой часто упускаемой из виду проблемы уже есть решение – одноразовые пароли.
Комбинация из защитного протокола и одноразовых паролей очень мощная.
- Протокол SSH обеспечивает шифрование последовательности авторизации в сети;
- Хороший пользователь SSH пзволяет проверять удаленные хосты с помощью открытых ключей пред отправкой ваших данных, что предотвращает попадание ваших данных в руки мошенников;
- Система одноразовых паролей гарантирует, что пароль не может быть использован повторно. Таким образом, если пароль считывается в процессе транспортировки, то у атакующего не будет возможности воспользоваться им для входа, так как вы уже вошли с ним.
Одноразовые пароли доступны для систем типа UNIX. Два наиболее известных вида — это S / KEY и OPIE (одноразовые паролей во всем).
С недавней отменой OPIE из репозиториев Debian и Ubuntu, OTP одноразовый системный пароль, созданный Маркусом Куном, является жизнеспособной альтернативой.
Хотя это и не является прямой заменой для OPIE, OTPW предлагает сопоставимые функциональные возможности, которые обеспечивают некоторые интересные особенности, не найденные в любом S / Key или OPIE.
Изъятие OPIE из репозиториев Debian и Ubuntu.
Debian стал изымать OPIE-пакеты в начале 2011 года после некоторых дискуссий о безопасности двоичных файлов, вопросах лицензирования и отсутствии результатов.
В то время как OPIE пакеты все еще доступны в текущей версии Debian на момент написания статьи, а некоторые неофициальные порты платформы можно найти в репозитории debports, OPIE не доступны в тестовом режиме и, по всей видимости, не будет включена в следующую версию Debian.