আপনি যে বার্তাটি দেখছেন তা একটি পৃথক সমস্যা। এটি আপনাকে জিজ্ঞাসা করছে যে আপনি যে হোস্টটির সাথে সংযোগ করছেন সেটিই আপনার প্রত্যাশা হওয়া সত্যই। সার্ভার থেকে, আপনি চালিয়ে আঙুলের ছাপটি পেতে পারেন ssh-keygen -l -f /etc/ssh/ssh_host_rsa_key.pub। তারপরে, যখন আপনি প্রথমবারের জন্য দূরবর্তীভাবে সংযোগ করছেন, আপনি আঙুলের ছাপগুলি মিলেছে কিনা তা নিশ্চিত করতে পারেন।
এখানে কর্মক্ষেত্রে দেখা হোস্ট কীগুলি, মাঝারি আক্রমণগুলিতে মানুষের সমস্যার সমাধান করে - সম্ভবত ডিএনএস বিপরীত হয়েছে এবং আপনি নিজের পরিবর্তে প্রতিযোগীর মেশিনে সংযোগ করছেন। সেই মেশিনটি আপনার শংসাপত্রগুলি সংগ্রহ করে এবং স্বচ্ছভাবে আপনার সংযোগটি সত্যিকারের সার্ভারের সাথে ফরোয়ার্ড করে, আপনাকে না জেনে আপনার তথ্য চুরি করে। হোস্ট কী ম্যাচগুলি নিশ্চিত হওয়া নিশ্চিত হওয়া উচিত যা আক্রমণকারী আপনার সার্ভারের সর্বজনীন কীটি প্রকৃতপক্ষে চুরি না করে।
যদিও একটি সমস্যা রয়ে গেছে - আপনি কীভাবে জানবেন কোন কীটি সঠিক? প্রথম সংযোগের পরে, সর্বজনীন কী আপনার ~/.ssh/known_hostsফাইলে সংরক্ষণ করা হয় , সুতরাং পরবর্তী সংযোগগুলি ঠিক আছে। তবে প্রথমবারের জন্য আপনার কাছে ফিঙ্গারপ্রিন্ট পাওয়ার কিছু আউট-অফ-ব্যান্ডের প্রয়োজন, অন্যথায় আপনি "TOFU" মডেলটি অনুসরণ করেন: প্রথমবার ব্যবহার-ভিত্তিতে ব্যবহার করুন।
তবে পাসওয়ার্ড বনাম কীগুলির সাথে এর কারও কিছুই করার নেই, কেবলমাত্র এই আক্রমণটির মাধ্যমে কী এবং পাসওয়ার্ড উভয়ই চুরি হয়ে যেতে পারে - এক অর্থে, আপনি যে দুর্বলতাটি জিজ্ঞাসা করছেন তা এটি।
(কমপক্ষে) তিনটি কারণে পাসওয়ার্ড কীগুলির চেয়ে খারাপ:
- তারা নিষ্ঠুর-বাধ্য হতে পারে। একটি সাধারণ ব্যবহারকারী-নির্বাচিত 8-অক্ষরের পাসওয়ার্ডটিতে অনুমান-এনট্রপি প্রায় 30 বিট থাকে। একটি ssh পাবলিক / প্রাইভেট কী জুটি 1024 বিট বা তার চেয়ে বড়। কোনও ssh কীটিকে জোর করে চাপানো কার্যকরভাবে অসম্ভব তবে স্বয়ংক্রিয় পাসওয়ার্ড অনুমান করা সর্বদা ঘটে।
- তারা বোবা হতে পারে। ব্যবহারকারীরা নিয়মিত জায়গায় ভয়ঙ্কর পাসওয়ার্ড নির্বাচন করেন এমনকি এমনকি জায়গাটিতে সীমাবদ্ধতা রয়েছে এবং তারা একাধিক জায়গায় আরও শক্ত পাসওয়ার্ড ব্যবহার করার ঝোঁক। এটি স্পষ্টতই আক্রমণগুলি সহজ করে তোলে।
- পাসওয়ার্ডগুলি দূর থেকে চুরি করা যায়। আপনি যখন এসএসএইচ ব্যবহার করছেন তখন পাসওয়ার্ডটি তারে এনক্রিপ্ট করা থাকে তবে এসএসএস সার্ভারের জন্য আপোস করা সিস্টেমে যে সমস্ত পাসওয়ার্ড লগইন করা হয় তা প্রতিস্থাপন করা খুব সাধারণ বিষয়। কীগুলির সাহায্যে, ব্যক্তিগত কী স্থানীয় সিস্টেমে থাকে এবং কখনই প্রেরণ হয় না এবং তাই ক্লায়েন্ট মেশিনের সাথে আপস না করে এটি চুরি করা যায় না।
অতিরিক্তভাবে, এসএসএস কীগুলি এমন ssh-agentকোনও কিছুর সাথে ব্যবহার করার সময় সুবিধার্থে দেয় - আপনি প্রতিবারের সাথে পুনরায় প্রমাণীকরণ না করে সংযোগের ঝামেলা-মুক্ত অপারেশন পান, তবুও সুরক্ষার একটি যুক্তিসঙ্গত ডিগ্রি বজায় রেখে।
উভয়ই জিজ্ঞাসা করার কোনও তাত্পর্যপূর্ণ সুবিধা নেই কারণ যে কেউ প্রাইভেট কীটি চুরি করতে পর্যাপ্ত অ্যাক্সেস পেয়েছে সে ব্যবহারকারীর পাসওয়ার্ডও মোটামুটি সহজেই চুরি করতে পারে। এর থেকে বেশি সুরক্ষার দরকার হলে আরএসএ সিকিউরিড বা উইকআইডি -র মতো একটি দ্বি-ফ্যাক্টর প্রমাণীকরণ সিস্টেমটি সন্ধান করুন ।