登录系统的『紧急口令』应该以什么原则选用为好?

查看 144|回复 8
作者:MFWT   
嗯,最后我还是去广州旅行了,在被称为世界最高城的动漫星城晃悠去了
背景
动漫星城没到点没开门,在外面瞎转悠
然后,看到了有关一个软件的安装教程,想装起来试试
打开 JuiceSSH ,准备登录的时候才想起个问题:这台服务器我关掉了密码登录,只能密钥登录,但是我出门在外,并没有给手机上的 SSH 软件装载私钥
是的,我暂时登录不上这台服务器了
设想
密码登录(或者说,口令登录)的痛点在于容易被人爆破密码,那么如果我设定一个足够强的密码,理论上应该可以大幅度减轻这个问题严重程度?
为了方便记忆和推算,我设想中用的是
k = to_lower(sha256(s))
其中 s 是我记得的一个比较高强度的口令( 14 个字符,大小写特殊符号和数字都有)
当然,我知道,这个做法的安全性,比不上用完一次即失效的『紧急登录刮刮码』
那么问题来了:
[ol]
  • 这种方法会比直接使用原来的口令要安全吗?
  • 是否应该在 hash 的时候手动对口令进行加盐处理(比如,该机器的 IPv4 地址的第一段)?
  • SHA256 是否可以满足『认为是安全的』的口令长度的需求?
    [/ol]
    谢谢解答

    口令, 登录, 密码, sha256

  • vitovan   
    答不上来。
    感觉你已经都懂了。
    dingwen07   
    我选择直接把私钥放到物理安全密钥里
    tmtstudio   
    我都是端口指定 IP 访问,用手机的话临时放行一下
    codehz   
    我的建议是,用联网同步的密码管理器(
    geelaw   
    从密码学角度考虑,口令登录相比密钥登录的问题并不在于“容易被人猜出口令”,而是:(1) 获得一次成功认证过程的明文即可反复重新认证;(2) 服务器被攻击后更容易还原口令。
    使用高强度口令可以避免第二个问题,然而我的看法是发送 s 并不比发送 to_lower(sha256(s)) 更糟糕,两者口令的熵是一样的。口令长度不是安全性的源泉,只是代理指标而已,口令强是指它的熵高,而长度和熵的关系是 熵 <= 长度——好的口令一定要长,但长的口令不一定好。
    pluto1   
    你用 sha256 其实有点类似于最简单的 KDF ,建议看看 scrypt 之类的,感觉理论上安全性可以稍微高一点
    dode   
    ssh 启用两步验证,然后可以搞几个一次性应急?
    1map   
    我的密码是派 取前 200 位,每次进入系统都要手动打几分钟,但是安全啊
    您需要登录后才可以回帖 登录 | 立即注册

    返回顶部