সার্ভার অ্যাডমিনের কাছ থেকে একটি ব্যক্তিগত কী গ্রহণ করা হচ্ছে: ঠিক আছে নাকি?

Question

আমি একটি দূরবর্তী এসএফটিপি সার্ভারে অ্যাক্সেস পেতে চাই। প্রশাসক আমার জন্য একটি ব্যবহারকারী তৈরি করেছে এবং আমার জন্য একটি সর্বজনীন / ব্যক্তিগত কী জুড়ি তৈরি করেছে। তারপরে তিনি সুরক্ষিতভাবে আমাকে প্রাইভেট কী ফাইল পাঠিয়েছিলেন, যা আমি প্রমাণীকরণের জন্য ব্যবহার করি। আমি বিশ্বাস করি এটি ভাল নয়, আমি কী জোড় তৈরির এক জন হওয়া উচিত এবং তাকে সর্বজনীন কী দিয়েছি। তবে এটি খারাপ হওয়ার কোনও ভাল কারণ আমি ভাবতে পারছি না, যদি আমি এই কীটি কেবল সেই সার্ভারে লগইন করতে করি, অন্য কোনও সার্ভার নেই। এরকম কোনও কারণ আছে কি?

Comments

খারাপ সুরক্ষা হাইজিন, এক জন্য। সার্ভার প্রশাসকের আরও ভাল জানা উচিত, এবং "প্রশিক্ষণ" ব্যবহারকারীদের বাহ্যিক উত্স থেকে ব্যক্তিগত কী পাওয়ার আশা করা উচিত নয়।

— wmorrell

তিনি আর কাকে দিচ্ছেন? সর্বদা ভাবুন, এর মধ্যে সবচেয়ে খারাপটি কী হতে পারে?

— ম্যাকেনজম

আমি আসলে এটি খারাপ বলে মনে করি না। নীচে একটি সাদৃশ্য (এরিক টাওয়ার) ব্যবহারকারীকে একটি "প্রাথমিক পাসওয়ার্ড" দেওয়ার সাথে সাথে সাথে সাথেই পরিবর্তন করা দরকার ভাল। ব্যক্তিগত অভিজ্ঞতা থেকে কথা বলতে গিয়ে, ব্যবহারকারীদের কাছে 100 তমবার কী কী কী তা ব্যাখ্যা করা কিছুটা ক্লান্তিকর হতে পারে - অ্যাডমিন এখনও মানবিক। আপনাকে ব্যক্তিগত কী দেওয়া অলস - হ্যাঁ, তবে নিজেকে এটিকে প্রতিস্থাপন করা থেকে আর কিছুই থামাতে পারে না। সংক্ষেপে, s / তিনি আপনার কাছে এটি প্রেরণের পরে, আপনাকে আবার সিসাদমিনকে বিরক্ত করার প্রয়োজন হবে না (যদি না তারা ফাইলে লেখার অনুমতি বন্ধ না করে ... তবে কেবল তাদের বিরক্ত করুন)।

— রায়

@ মথ্যাশ এই প্রশ্নটি এই সাইটের সাথে খাপ খায় তবে কেবল একটি এফওয়াইআই হিসাবে অন্যান্য সুরক্ষা প্রশ্নাবলীর জন্য একটি তথ্য সুরক্ষা সাইট রয়েছে ।

— শীর্ষস্থানীয়

আমি আরও উল্লেখ করতে চাই যে এডাব্লুএস এটিও এটি করে। আপনি যখন কোনও উদাহরণ তৈরি করেন আপনি এতে আপনার সর্বজনীন কী আপলোড করবেন না, আপনার জন্য একটি কীপেইর তৈরি করা হবে এবং আপনি ব্যক্তিগত কীটি ডাউনলোড করুন।

— জিএনপি

Answer 1

আপনি যেমনটি বলেছেন ঠিক তেমন: পাবলিক কী প্রমাণীকরণের পুরো ধারণাটি হল যে ব্যক্তিগত কীটি কেবলমাত্র মালিকের কাছেই জানা উচিত, যখন সংশ্লিষ্ট পাবলিক কীটি ব্যাপকভাবে প্রচার করা যেতে পারে। আপনার প্রমাণীকরণের সুরক্ষা জনসাধারণের কীটির সুরক্ষার উপর নির্ভর করে না, ব্যক্তিগত কীটির সুরক্ষার উপর নির্ভর করে।

অন্য কেউ আপনাকে একটি ব্যক্তিগত কী সরবরাহ করে তা স্বয়ংক্রিয়ভাবে আপোস করে তোলে। (আপনি জানেন না যে অন্য প্রশাসকের কাছে এখনও এমন কোনও অনুলিপি রয়েছে যা আপনার ছদ্মবেশে ব্যবহার করা যেতে পারে))

Comments

আসুন আমরা সার্ভার অ্যাডমিনের কাছ থেকে সেরা ধরে নিই এবং ধরে নিই যে, তিনি একটি নতুন কী তৈরি করতে আরও ভাল, যেহেতু তিনি ব্যবহারকারীর কাছে সংক্রামিত ব্যক্তিগত কী না রাখার বিষয়ে বিশ্বাস করবেন না not সম্ভবত সার্ভার প্রশাসক মনে করেন, ব্যবহারকারীদের ব্যক্তিগত কী খুব পুরানো এবং সম্ভবত বছরের পর বছর ধরে আপস হয়ে গেছে। এটি ইউ 2 এফের ক্ষেত্রে একই, যেখানে কনসোর্টিয়াম বা বিক্রেতারা কী উত্পন্ন করতে ব্যবহারকারীদের উপর বিশ্বাস করে না, এই কারণেই ইউ 2 এফ ডিভাইস প্রাক-তৈরি কীগুলি নিয়ে আসে!

— কর্নেলিনাক্স

প্রশাসকের ব্যবহারকারীর একটি ব্যক্তিগত কী তৈরি এবং সুরক্ষিত করা উচিত।

— অ্যালেক্স

আপনি পুরোপুরি ঠিক বলেছেন। তবে প্রায়শই অ্যাডমিন কম্পিউটারের সাথে মানুষের সাথে আরও ভাল হয় -)

— কর্নেলিনাক্স

প্রশাসক যাইহোক আপনার ছদ্মবেশ তৈরি করতে পারে।

— ব্যবহারকারী 253751

আমি মনে করি আপনি বাস্তবের এবং আরও বড় চিত্রের সাথে সংকীর্ণ উদাহরণের তাত্ত্বিক অনুশীলনগুলিকে বিভ্রান্ত করছেন। আপনাকে অবশ্যই প্রশাসককে বিশ্বাস করতে হবে কারণ তার সিস্টেমের নিয়ন্ত্রণ রয়েছে এবং কীটি সম্পূর্ণরূপে ব্যবহার করার প্রয়োজন এড়াতে পারে। প্রাইভেট কীগুলি প্রদান বাস্তব জগতে ঘটে কারণ শেষ ব্যবহারকারীরা হয় কীভাবে এটি তৈরি করবেন, বা কীভাবে নিরাপদে তৈরি করবেন তা বুঝতে পারেন না।

— জেমসআরয়ান

Answer 2

এই কীটির জন্য, প্রতিষ্ঠানের অ-খণ্ডন নেই । IE, যদি কেউ আপনার 'কী' কীটি ব্যবহার করে সেই সিস্টেমটির জন্য কোনও আপত্তিজনক বা ধ্বংসাত্মক কিছু করে থাকে তবে প্রশাসক সম্পূর্ণরূপে এর জন্য দায়বদ্ধ হওয়ার জন্য আপনাকে দোষটি চিহ্নিত করতে পারে না। যেহেতু আপনাকে এটি দিয়েছে সেই ব্যক্তিরও চাবি ছিল। এটি সম্ভবত আপনার পক্ষে খারাপ নয়, যেহেতু এটি আপনাকে একটি প্রতিরক্ষা দেয়, তবে সার্ভারকে নিয়ন্ত্রণকারী সংস্থার পক্ষে ভয়ঙ্কর, যদি কখনও খারাপ কিছু ঘটে থাকে।

আপনি প্রদত্ত কীগুলি থেকে আপনার লিখিত সুবিধাগুলি ব্যবহার করতে, আপনার অনুমোদিত কীগুলি আপডেট করতে এবং আপনার কী যুক্ত করতে এবং প্রদত্ত কীটি সরাতে পারেন।

Comments

প্রকৃতপক্ষে, অ্যাডমিন সম্ভবত প্রশাসনের দ্বারা উত্পাদিত প্রথম পাসওয়ার্ডের মতোই ব্যবহারকারীকে তাদের প্রথম ব্যবহারের সময় কীটি পরিবর্তন করার প্রত্যাশা করতে পারে।

— এরিক টাওয়ার

একজন মহান ব্যক্তি একবার বলেছিলেন , "দূরে প্রত্যাশা"। পাসওয়ার্ডগুলির জন্য প্রায়শই প্রথম ব্যবহারের পরিবর্তন প্রয়োজন হয়, তবে সর্বজনীন কী ক্রিপ্টোর জন্য কখনই প্রয়োজন হয় না - এটি মূল বিষয়।

— দোলা

@EricTowers যে এমনকি সম্ভব সমসাময়িক এসএফটিপি সঙ্গে প্রয়োজন (অথবা এমনকি, SSH, যদি না আপনি একসঙ্গে নিজেকে খোয়া কিছু করতে ইচ্ছুক) বাস্তবায়নের?

— একটি সিভিএন

এই উত্তরটি এই ধারণাটি দেয় যে sftp এর উপরের ক্রিয়াগুলি কোনও লগতে সই করা হয়েছে এবং সেই কী দ্বারা সুরক্ষিত শেষ হবে। এটি কেবল তেমনটি নয়, কোনও প্রশাসক এমনকি কীটি ব্যবহার না করেই ক্রিয়া বা লগগুলিতে হস্তক্ষেপ করতে পারে।

— জেমসআরয়ান

@ মার্কসেলাম: আমি বললাম যে একটি কারণ আছে "প্রায়শই প্রয়োজনীয়", "সবসময় একেবারে বাধ্যতামূলকভাবে সব ক্ষেত্রে কোনও ব্যতিক্রম নয়"। আসলে যে কেউ নিয়মিতভাবে পাসওয়ার্ড হ্যাশগুলি এবং পাবলিক কীগুলি অনুরোধ করে (এবং স্বীকার করে নিন), আমি জানি যে পাবলিক কী থেকে কাউকে হ্যাশ পাসওয়ার্ড সরবরাহ করা (নিরাপদ লবণ এবং সমস্ত কিছু সহ) পাওয়ার পক্ষে এটি অনেক বেশি বাধা। আপনার যদি কোনও এসএসএইচ ক্লায়েন্ট থাকে তবে আপনার কী প্রজন্মের সরঞ্জাম রয়েছে have cryptএর অনেক বিনোদনমূলক ফর্ম (2) কল করতে সক্ষম এমন কোনও কারণে একই কথা বলা যায় না ।

— দোলা