OpenSSH 9.5 (diskuse)

[Jendа]

Jde to vypnout, These are controlled by a new ssh_config ObscureKeystrokeTiming keyword. Uvidíme, jestli mě bude 10ms průměrné latence navíc štvát. Bojím se že jo, protože 50ms už poznám a typické spojení co navazuji má 30-40.

[jejda]

Chápu to dobře že pokud se přihlašuju klíčem a nedatluju heslo do klávesnice tak se mě to netýká? Strach z toho že útočník bude vědět kolik znaků má moje heslo mi už přijde jak zbytečná paranoia. Když mu umožním jenom pár pokusů na login za minutu, tak bude i jednoduché heslo hádat sto let.

[Jendа]

Chápu to dobře že pokud se přihlašuju klíčem a nedatluju heslo do klávesnice tak se mě to netýká?

Ani pokud datluješ heslo do klávesnice, tak se tě to netýká, neboť ssh přečte celé heslo a pošle ho najednou (vždy, vůbec se nepřenáší po znacích, ten protokol takto nefunguje) (bez záruky). Ta věc slouží k ochraně až navázané session.

[Peter Golis]

Akurát že v už naviazanej session sa môžeš autentifikovať do nejakého iného programu/systému, a tam už môže záležať na odozve medzi stlačením kláves. Tak sa dá podľa latencie odhadnúť príkaz, meno alebo aj heslo. Minimálne sa dá odhadnúť ako ďaleko sú od seba stlačené klávesy, a s tým pracovať na uhádnutí (čo dramaticky zníži čas na prelomenie).

I keď v dnešnej dobe dvojfaktorovej autentifikácie alebo peňaženiek na kredence, ...