Vous n'êtes pas identifié(e).
Hors ligne
Dernière modification par otyugh (09-01-2020 22:58:01)
Hors ligne
Dernière modification par Jahkyn (09-01-2020 23:24:41)
Hors ligne
je crois que tu vas un peu dans mon sens, grosso modo :
Utiliser le mot de passe en SSH n'est pas considéré comme une faille de sécurité critique (mais elle expose à des attaques bruteforce, donc c'est quand même mieux de désactiver l'identification par mots de passe, idéalement).
Idéalement aussi, tu ne vois pas la différence. Personnellement j'ai mes alias pour lancer des connexion ssh (sinon faudrait que je me souvienne de l'IP, du login, du port, du chemin vers ma clé privée ET du mot de passe pour la dévérrouiller ? C'est mort), et je ne vois pas la différence entre me connecter avec ou sans clé privée. Donc je n'utilise que des clés privées, et ça ne me contraint en rien. Ça m'a pris dix minute à mettre en place, quoi x)
Dernière modification par otyugh (10-01-2020 12:25:26)
Hors ligne
Dernière modification par Philou92 (11-01-2020 00:35:29)
Tousse antique Ovide !
Hors ligne
Dernière modification par Jahkyn (11-01-2020 11:03:53)
Hors ligne
L’utilisation d’une connexion SSH par mot de passe ou par échange de clef est équivalente en terme de sécurité.
D'où vient cette affirmation ? (pas que ça m'importe tant que ça, au fond. Mais vu que tu me contredis, je suis curieux de confirmer la validité de mon erreur).
Dernière modification par otyugh (11-01-2020 14:17:42)
Hors ligne
D'où vient cette affirmation ?
Du bon sens. Comme tu l’as précisé les deux méthodes nécessitent l’usage d’un mot de passe.
Mais vu que tu me contredis.
Il n’y a pas de contradiction. Ce n’est qu’une affaire de choix. Le meilleur étant celui que l’on maîtrise le mieux en fonction du contexte d’utilisation.
La connexion par clef est pratique pour l’administrateur qui doit joindre plusieurs serveurs (seul le mot de passe de sa clef privée est nécessaire). Il doit tout de même s’assurer que la machine cliente ne présente pas de faille, malware, keylogger etc… Ce qui à mon avis devient compliqué s’il doit se connecter depuis plusieurs machines clientes différentes. Que dire de la connexion par clef depuis son « abrutiphone », du PC ouinedauze de la voisine etc…
Avec la méthode par mot de passe, on risque la compromission d’un serveur (en admettant que tous les mots de passe des users de tous les serveurs sont différents), avec l’échange de clef on risque de tous les compromettre.
Le principal danger à mon avis serait de se croire plus en sécurité avec une méthode plutôt qu’avec une autre.
je suis curieux de confirmer la validité de mon erreur).
Je ne vois pas d’erreur dans ce que tu as écris.
Tousse antique Ovide !
Hors ligne
Association libriste infothema située dans les Côtes d'Armor (Bretagne)
Blog : https://www.infothema.fr / Forum : https://www.infothema.fr/forum
Twitter : https://twitter.com/asso_infothema / Compte Mastodon : https://framapiaf.org/@infothema / PeerTube : https://infothema.net
Hors ligne
Que le mot de passe en clair fasse 52 éléments avec des .+-"@7-~ ne change à l'affaire : il est en clair !
En clair ?? Tu dois confondre avec telnet, le mot de passe d'hautentification est chiffré avec ssh.
Tousse antique Ovide !
Hors ligne
Dernière modification par infothema (13-01-2020 23:07:51)
Association libriste infothema située dans les Côtes d'Armor (Bretagne)
Blog : https://www.infothema.fr / Forum : https://www.infothema.fr/forum
Twitter : https://twitter.com/asso_infothema / Compte Mastodon : https://framapiaf.org/@infothema / PeerTube : https://infothema.net
Hors ligne
1) Oui ton mot de passe de connexion est en clair dans les scripts qui se servent de SSH si tu n'as pas de clés !
Je n’utilise pas de script pour me connecter à SSH.
Utiliser des scripts avec des mots de passe en clair ce n’est pas sérieux. Autant coller un post-it avec le mot de passe dessus sur l’écran du PC.
2) Avec un mot de passe "lechiendelavoisine@15estVERT", Il est plus facile de brute forcer ton serveur SSH surtout si il est visible sur le web
C’est plus facile que "lechiendelavoisine@15estVERT?" et moins facile que "lechiendelavoisine15estVERT". Pas très solide comme argument.
4) Ton hébergeur pro te conseillera toujours l'usage des clés en SSH sur ton serveur
J’espère que tu as un accès physique chez ton hébergeur PRO, parce-que si ta clef est corrompue sur le serveur, ou si celle du serveur change , alors tu ne pourras plus y accéder.
Pour résumer, la sécurité se résume à l'usage du protocole SSH avec des clés hautement sécurisées (génération)
Je peux aussi utiliser un mot de passe super long et complexe.
Si tu n'es toujours pas convaincu, je t'invite à visiter ces liens :
https://www.supinfo.com/articles/single … orce-ligne de l'école Supinfo
https://www.securiteinfo.com/attaques/h … ydra.shtml
Pas convaincu.
Ces outils cassent des mots de passe. Ils ne cassent pas SSH.
SSH est un protocole de connexion visant à sécuriser les échanges sur un réseau. Évidemment il est important de protéger le client et le serveur. Ce dernier nécessite à minima une bonne configuration du pare-feu (connexion SSH réservée à des IP/domaine clients connus et l’usage de l’application fail2ban rendent très difficile l’attaque par force brute) et une surveillance des alerte de tentative de connexion.
Tousse antique Ovide !
Hors ligne