এসএসএইচ এর মাধ্যমে রুট লগইন কেন এত খারাপ যে সবাই একে অক্ষম করার পরামর্শ দেয়?

Question

ইন্টারনেটের প্রত্যেকে এসএসএইচ এর মাধ্যমে রুট লগইন নিষ্ক্রিয় করার পরামর্শ দেয় কারণ এটি সিস্টেমের একটি খারাপ অভ্যাস এবং সুরক্ষা গর্ত, তবে কেন এটি এমন তা কেউ ব্যাখ্যা করেনা।

রুট লগইন সক্ষম করার ক্ষেত্রে এত বিপজ্জনক কী (বিশেষত অক্ষম পাসওয়ার্ড লগইন সহ)?

এবং পাসওয়ার্ড প্রমাণীকরণের ক্ষেত্রে X চিহ্নের ব্যবহারকারীর নাম এবং Y প্রতীক পাসওয়ার্ড বা রুট ব্যবহারকারীর নাম এবং সুরক্ষা দৃষ্টিকোণ থেকে X + Y প্রতীক পাসওয়ার্ডের মধ্যে পার্থক্য কী?

Comments

বেশিরভাগ সিস্টেমে রুট ব্যবহারকারী থাকা নিজের পক্ষে খারাপ, বলেন ব্যবহারকারীটির জন্য এসএসএইচ লগইন সক্ষম করে ছেড়ে দিন!

— সুমন

Ehealth-aussie.blogspot.com/2012/01/… এর জন্য এসএসএসের মাধ্যমে রুট লগইন করা প্রয়োজনীয় । সবকিছুই একটি আপস।

— এমরি

উম্মে ... আমাদের এই প্রশ্নটি সুরক্ষার দিকে নিয়ে যাওয়া উচিত? যেহেতু বিষয়টি সুরক্ষার দিকে তত বেশি ঝুঁকে থাকে * এক্স সিস্টেমগুলি।

— ব্রায়াম

রুট অক্ষম করার জন্য প্রশাসনিক কারণ রয়েছে। বাণিজ্যিক সার্ভারগুলিতে আপনি সর্বদা ব্যক্তি দ্বারা অ্যাক্সেস নিয়ন্ত্রণ করতে চান। মূল কখনই কোনও ব্যক্তি হয় না। এমনকি যদি আপনি কিছু ব্যবহারকারীকে রুট অ্যাক্সেসের অনুমতি দেন তবে আপনার তাদের তাদের নিজস্ব ব্যবহারকারীর মাধ্যমে লগইন করতে বাধ্য করা উচিত এবং তারপরে su -বা sudo -iতাদের প্রকৃত লগইন রেকর্ড করা যায়। এটি স্বতন্ত্রভাবে সমস্ত অ্যাক্সেস বাতিল করে দেয় যাতে তাদের কাছে মূল পাসওয়ার্ড থাকলেও তারা এগুলি দিয়ে কিছুই করতে পারে না।

— ফিলিপ কাপলিং

Answer 1

এসএসএইচ-এর মূল কেন খারাপ

সেখানে অনেকগুলি বট রয়েছে যা আপনার কম্পিউটারে এসএসএইচ দিয়ে লগ ইন করার চেষ্টা করে। এই বটগুলি নিম্নলিখিত পদ্ধতিতে কাজ করে।

তারা এর মতো কিছু কার্যকর করে ssh root@$IPএবং তারপরে তারা "রুট" বা "পাসওয়ার্ড 123" এর মতো মানক পাসওয়ার্ড চেষ্টা করে। সঠিক পাসওয়ার্ড না পাওয়া পর্যন্ত তারা এগুলি যতক্ষণ পারছে তা করে। বিশ্বব্যাপী অ্যাক্সেসযোগ্য সার্ভারে আপনি আপনার লগ ফাইলগুলিতে প্রচুর লগ এন্ট্রি দেখতে পাবেন। আমি প্রতি মিনিটে 20 বা তারও বেশি যেতে পারি।

যখন আক্রমণকারীদের ভাগ্য হয় (বা পর্যাপ্ত সময়), এবং একটি পাসওয়ার্ড পাওয়া যায়, তাদের রুট অ্যাক্সেস হবে এবং এর অর্থ হ'ল আপনি সমস্যায় পড়েছেন।

কিন্তু আপনি যখন এসএসএইচ দিয়ে লগ ইন করতে রুটটিকে অস্বীকার করেন, তখন বটের প্রথমে ব্যবহারকারীর নাম এবং তারপরে ম্যাচের পাসওয়ার্ড অনুমান করা দরকার। সুতরাং আসুন আমরা প্লাজিবল পাসওয়ার্ডগুলির তালিকাতে Nপ্রবেশের প্রবেশদ্বার রয়েছে এবং চটজলদি ব্যবহারকারীর তালিকার তালিকা Mবড়। বটের N*Mপরীক্ষার জন্য প্রবেশের একটি সেট রয়েছে , সুতরাং এটি রুট কেসের তুলনায় বটের জন্য কিছুটা শক্ত করে তোলে যেখানে এটি কেবলমাত্র আকারের সেট N।

কিছু লোক বলবেন যে এই অতিরিক্ত সুরক্ষার Mক্ষেত্রে সত্যিকারের লাভ নয় এবং আমি সম্মতি জানাই যে এটি কেবল একটি ছোট্ট সুরক্ষা বর্ধন। তবে আমি এটিকে আরও মনে করি কারণ এই ছোট প্যাডলকগুলি নিজেরাই সুরক্ষিত নয়, তবে তারা প্রচুর লোককে সহজেই অ্যাক্সেস থেকে বাধা দেয়। এটি অবশ্যই বৈধ যদি আপনার মেশিনটিতে টোর বা অ্যাপাচের মতো কোনও মানক ব্যবহারকারীর নাম না থাকে।

রুটকে অনুমতি না দেওয়ার সর্বোত্তম কারণ হ'ল মানক ব্যবহারকারীর চেয়ে রুটটি মেশিনে আরও অনেক বেশি ক্ষতি করতে পারে। সুতরাং, যদি বোবা ভাগ্যক্রমে তারা আপনার পাসওয়ার্ডটি সন্ধান করে তবে একটি সাধারণ ব্যবহারকারী অ্যাকাউন্টের সাথে পুরো সিস্টেমটি হারিয়ে যায় আপনি কেবল সেই ব্যবহারকারীর ফাইলগুলি (যেটি এখনও খুব খারাপ) ব্যবহার করতে পারেন ip

মন্তব্যে এটি উল্লেখ করা হয়েছিল যে একজন সাধারণ ব্যবহারকারীর ব্যবহারের অধিকার থাকতে পারে sudoএবং যদি এই ব্যবহারকারীর পাসওয়ার্ড অনুমান করা হয় তবে সিস্টেমটিও পুরোপুরি হারিয়ে গেছে।

সংক্ষেপে আমি বলব যে আক্রমণকারী কোন ব্যবহারকারীর পাসওয়ার্ড পায় তা বিবেচনা করে না। যখন তারা একটি পাসওয়ার্ড অনুমান করে আপনি সিস্টেমে আর বিশ্বাস করতে পারবেন না। একজন আক্রমণকারী তার সাথে আদেশগুলি কার্যকর করতে ব্যবহারকারীর অধিকারগুলি ব্যবহার করতে পারে sudo, আক্রমণকারী আপনার সিস্টেমে কোনও দুর্বলতাও কাজে লাগাতে পারে এবং মূল অধিকারগুলিও অর্জন করতে পারে। যদি কোনও আক্রমণকারী আপনার সিস্টেমে অ্যাক্সেস পেয়ে থাকে তবে আপনি এটি আর বিশ্বাস করতে পারবেন না।

এখানে মনে রাখার বিষয়টি হ'ল আপনার সিস্টেমে থাকা প্রত্যেক ব্যবহারকারীকে যে এসএসএইচ দিয়ে লগ ইন করার অনুমতি দেওয়া হয়েছে এটি একটি অতিরিক্ত দুর্বলতা। রুট অক্ষম করে আপনি একটি স্পষ্ট দুর্বলতা মুছে ফেলেন।

এসএসএইচের পাসওয়ার্ড কেন খারাপ

পাসওয়ার্ড অক্ষম করার কারণটি খুব সহজ।

• ব্যবহারকারীরা খারাপ পাসওয়ার্ড বেছে নিন!

পাসওয়ার্ডগুলি চেষ্টা করার সম্পূর্ণ ধারণাটি কেবল তখনই কার্যকর হয় যখন পাসওয়ার্ডগুলি অনুমানযোগ্য হয়। সুতরাং যখন কোনও ব্যবহারকারীর "pw123" পাসওয়ার্ড থাকে তখন আপনার সিস্টেমটি নিরাপত্তাহীন হয়ে যায়। লোকেদের দ্বারা নির্বাচিত পাসওয়ার্ডগুলির সাথে আর একটি সমস্যা হ'ল তাদের পাসওয়ার্ডগুলি সত্যই এলোমেলো হয় না কারণ এটি মনে রাখা তখন শক্ত।

এছাড়াও এটি ফেসবুকে বা তাদের জিমেইল অ্যাকাউন্টগুলিতে এবং আপনার সার্ভারে লগ ইন করার জন্য ব্যবহারকারীরা তাদের পাসওয়ার্ডগুলি পুনরায় ব্যবহার করার প্রবণতা দেখায়। সুতরাং যখন কোনও হ্যাকার এই ব্যবহারকারীর ফেসবুক অ্যাকাউন্টের পাসওয়ার্ড পেয়ে যায় তখন সে আপনার সার্ভারে প্রবেশ করতে পারে। ব্যবহারকারী ফিশিংয়ের মাধ্যমে সহজেই এটি হারাতে পারে বা ফেসবুক সার্ভার হ্যাক হয়ে যেতে পারে।

আপনি যখন লগ ইন করতে একটি শংসাপত্র ব্যবহার করেন তখন ব্যবহারকারী তার পাসওয়ার্ডটি পছন্দ করেন না। শংসাপত্রটি একটি এলোমেলো স্ট্রিংয়ের উপর ভিত্তি করে যা 1024 বিট থেকে 4096 বিট পর্যন্ত (~ 128 - 512 অক্ষরের পাসওয়ার্ড) খুব দীর্ঘ। অতিরিক্তভাবে এই শংসাপত্রটি কেবলমাত্র আপনার সার্ভারে লগইন করার জন্য রয়েছে এবং বাইরের কোনও পরিষেবাতে ব্যবহৃত হয় না।

লিংক

http://bsdly.blogspot.de/2013/10/the-hail-mary-cloud-and-lessons-learned.html

এই নিবন্ধটি মন্তব্যগুলি থেকে এসেছে এবং আমি এটিকে কিছুটা বিশিষ্ট অবস্থান দিতে চেয়েছিলাম, যেহেতু এটি এসএসএইচ দিয়ে লগ ইন করার চেষ্টা করে যে বোটনেটগুলির বিষয়ে কিছুটা গভীর হয়, তারা কীভাবে এটি করে, লগ ফাইলগুলি কীভাবে দেখায় এবং তাদের থামাতে কেউ কী করতে পারে। এটি লিখেছেন পিটার হ্যান্সটিন।

Comments

ভাল সংক্ষিপ্তসার। তবে ssh প্রাইভেট কীগুলিও চুরি হয়ে যেতে পারে।

— ফাহিম মিঠা

@ ফাহিম মিঠা হ্যাঁ তবে চুরি করা অনুমান করা থেকে আলাদা, যা বটগুলি করে। এছাড়াও আপনার ব্যক্তিগত কী কেবল আপনার হাতে (বা হার্ড ড্রাইভ) এবং স্ট্যাক এক্সচেঞ্জ বা গুগলের মতো তৃতীয় পক্ষের হাতে নয়।

— রাফেল অ্যারেন্স 17

+1 টি। এই উত্তরটি কেবল সহজভাবে সিদ্ধ হতে পারে N*M > N। যেহেতু বেশিরভাগ * নিক্স হোস্টের rootব্যবহারকারী থাকে, আপনি যদি দূর থেকে কোনও হোস্ট থেকে রুটটিকে সরাসরি লগইন করতে দেন, পরীক্ষার ম্যাট্রিক্সের আকারটি পাসওয়ার্ডের সংখ্যাটি চেষ্টা করার চেষ্টা করে; সরাসরি রুট লগইনগুলি অস্বীকার করে, সম্ভাব্য সংমিশ্রণের সংখ্যাটি আপনি পরীক্ষা করতে চান এমন ব্যবহারকারীর নামের সাথে বহুগুণ হয় (এবং এখনও কোনও গ্যারান্টি নেই যে আপনি বৈধ ব্যবহারকারীর নাম পরীক্ষা করতে পারবেন!)

— একটি সিভিএন

@ মাইকেলKjörling আমি যুক্ত করব যে ব্যবহারকারীর নামটি পাওয়া কঠিন নয়, যেহেতু সাধারণত ব্যবহারকারীর নামটি কোনও গোপনীয়তা নেই এবং আমি সম্ভবত কাউকে সেখানে যেতে জিজ্ঞাসা করতে পারি। তবে এটি বটস এবং সাধারণ চেষ্টা করার বিরুদ্ধে সাহায্য করে।

— রাফেল অ্যারেন্স 17

@ প্রত্যেকটি, যদি ব্যবহারকারীর নামটিতে এক্স চিহ্ন এবং পাসওয়ার্ড Y থাকে তবে চেষ্টা করার জন্য # of X length words* # of Y length wordsসম্ভাব্য সংমিশ্রণ রয়েছে। যখন ব্যবহারকারীর নামটি স্থির করা হয় (যেমন রুট) তবে পাসওয়ার্ডটি এক্স + ওয়াই প্রতীক দীর্ঘ হয়, সেখানে # of X+Y length wordsসম্ভাব্য পাসওয়ার্ড থাকে। এবং # of X+Y length words=# of X length words * # of Y length words

— স্ক্র্যাপ

Answer 2

ডাইরেক্ট রুট লগইনকে মঞ্জুরি না দেওয়ার কয়েকটি কারণ এটি হতে পারে।

• ব্রুটফোর্স প্রচেষ্টা। ডাইরেক্ট রুট লগইনের ফলে সফল সাফল্যের আক্রমণে আরও বেশি ক্ষতি হতে পারে।
• "পাসওয়ার্ডহীন" এসএসএইচ কীগুলিতে মিসকনফিগারেশন (মানুষের ত্রুটি ঘটে) আপনার মেশিনটিকে ইন্টারনেটে প্রকাশ করতে পারে

তবে এটি হ'ল আইসবার্গের টিআইপি। আপনার অন্যান্য বিধিনিষেধ এবং কনফিগারেশন কনফিগার করতে হবে:

• ডিফল্ট পোর্ট পরিবর্তন করুন (22)
• শক্তিশালী পাসওয়ার্ড এবং পাসফ্রেজ
• হোস্ট-ভিত্তিক প্রমাণীকরণ অক্ষম করুন
• অনুমোদিত ব্যবহারকারীদের একটি তালিকা তৈরি করুন
• নিষ্ক্রিয় টাইমআউট কনফিগার করুন
• এসএসএইচভি 2 প্রোটোকল জোর করে
• খালি পাসওয়ার্ড অক্ষম করুন
• ব্রুটফোর্সকে আবার পরিমাপ হিসাবে ব্যর্থ 2ban ব্যবহার করুন
• সমস্ত কিছু লগ ইন করুন
• এসএসএইচ কীগুলি কনফিগার করুন এবং শুধুমাত্র .ssh / অনুমোদিত_keys এ সর্বজনীন কীগুলিতে বিশ্বাস করুন

Comments

"ডাইরেক্ট রুট লগইনের ফলে সফল সাফল্যের আক্রমণে আরও বেশি ক্ষতি হতে পারে।" সত্যই নয়, যদি কোনও ডিফল্ট sudoসেটআপের সাথে তুলনা করা হয় । আসল হত্যাকারী হ'ল গুণক প্রভাব যখন আপনার কোনও ব্যবহারকারীর নাম না থাকে যা আপনি কোনও হোস্টে বৈধ বলে গণ্য করতে পারেন।

— একটি সিভিএন

@ মাইকেলKjörling - হ্যাঁ, নিশ্চিত যে মেসড সুডো পারমিট রুটের মতো ক্ষতিকারক হতে পারে;)

Unix.stackexchange.com/a/2944/9454

— মার্টিন

বন্দর পরিবর্তন করা নিজেই অনেক পরিস্থিতিতেই ক্ষতিকারক। এবং এটি অস্পষ্টতার দ্বারা সুরক্ষা ছাড়া আর কিছুই নয়।

— 0xC0000022L

ব্যর্থ 2ban উল্লেখ করার জন্য +1, যেমন ব্রুট ফোর্স আক্রমণ কেবল এসএসএইচের জন্য উদ্বেগ নয়, তবে মেশিনে থাকা অন্য কোনও কিছুর জন্য। ব্যবহারিক উদ্দেশ্যে (ব্যক্তিগত ডেটা অ্যাক্সেস, ফাইল ডাম্প হিসাবে ব্যবহার, ফিশিংয়ের জন্য ব্যবহার ইত্যাদি) কোনও যন্ত্রকে "দখল" করার জন্য আপনাকে কোথাও রুট বা সিস্টেমের অনুমতি পেতে হবে না।

— এরিক গ্রেঞ্জ

Answer 3

আপনি ঠিক বলেছেন যে মূল ব্যবহারকারীর নাম এবং এক্স + ওয়াই প্রতীক পাসওয়ার্ডটি কমপক্ষে একটি এক্স সিম্বল ব্যবহারকারী নাম + ওয়াই প্রতীক পাসওয়ার্ডের মতো সুরক্ষিত। প্রকৃতপক্ষে এটি আরও সুরক্ষিত, কারণ মানুষের নাম অনুমান করা সহজ (বটগুলি কেবল জন, মাইক, বিল ইত্যাদির চেষ্টা করতে পারে ... এবং বিটিডব্লিউ: তাদের মধ্যে অনেকেই মূল চেষ্টা করার পরিবর্তে এটি করেন)। এবং এটি বিশেষত আপনার ভাগ্য থেকে দূরে যদি এটি একটি লক্ষ্যযুক্ত আক্রমণ, কারণ কেউ যদি কোনও সংস্থার সার্ভার ভাঙতে চায় তবে সিসাডমিনের নাম (নিক) খুঁজে পেতে সমস্যা হবে না।

এবং আক্রমণকারী অ্যাকাউন্টে অ্যাক্সেস পাওয়ার সাথে সাথে সিসাদমিন এসএস লগিনের জন্য ব্যবহার করে (এবং তারপরে তার কাজগুলি ব্যবহার করে suবা sudoকরতে) সে ব্যবহারকারীর সেশনটিকে এমন একটি প্রোগ্রামের সাথে সংক্রামিত করতে পারে যা আক্রমণকারী রুট পাসওয়ার্ড প্রেরণ করবে যখন সিসাদমিন পরবর্তী ধরণের হবে সময়।

এটি কোনও ধরণের মূল লগইন যা সুরক্ষার দিক থেকে খারাপ অভ্যাস হিসাবে বিবেচিত (বা হওয়া উচিত)। "সাধারণ" ব্যবহারকারী লগইন -> সু / সুডো চেইন একটি নিরীক্ষণের ট্রেইল যুক্ত করে। সরল ইংরেজী ভাষায়: কে কী করেছে তা সন্ধান করা সম্ভব করে।

একটি বিশেষ ক্ষেত্রে এটি হতে পারে, যেখানে কেবলমাত্র একজন ব্যক্তির রুট অ্যাক্সেস থাকে। সেক্ষেত্রে অতিরিক্ত "সাধারণ" ব্যবহারকারীর বেশি মান যুক্ত হবে না (কমপক্ষে আমি কখনই সেই মানটি দেখতে পেতাম না)। তবে যাইহোক - আপনার সিস্টেমে যে কোনও উপায়েই সাধারণ ব্যবহারকারী থাকার কথা administrative

Answer 4

রুট লগইন সক্ষম করার ক্ষেত্রে এত বিপজ্জনক কী (বিশেষত অক্ষম পাসওয়ার্ড লগইন সহ)?

আক্রমণকারী (বট / বোটনেট / হ্যাকার) কেবলমাত্র পাসওয়ার্ডটি অনুমান করা দরকার এবং আপনি যদি ইন্টারনেটে খোলা থাকেন তবে আপনার সিস্টেমে সম্পূর্ণ নিয়ন্ত্রণ থাকতে পারে। এছাড়াও, কোনও সিস্টেম অ্যাকাউন্টের (www-ডেটা, প্রক্সি ইত্যাদি) একই কারণে এসএসএইচ-এর মাধ্যমে লগইন করতে সক্ষম হওয়া উচিত না।

আপনি যদি পাসওয়ার্ড লগইন অক্ষম করে থাকেন (উদাহরণস্বরূপ, সর্বজনীন কী ব্যবহার করে) তবে মনে রাখবেন যে যে কেউ ব্যক্তিগত কী ধরে রাখে সে আপনার সিস্টেমে সম্পূর্ণ নিয়ন্ত্রণ পায়। নীচে ব্যবহারকারীর সাথে কেন পাবলিক কী ব্যবহার করা ভাল তা দেখুন।

এবং পাসওয়ার্ড প্রমাণীকরণের ক্ষেত্রে X চিহ্নের ব্যবহারকারীর নাম এবং Y প্রতীক পাসওয়ার্ড বা রুট ব্যবহারকারীর নাম এবং সুরক্ষা দৃষ্টিকোণ থেকে X + Y প্রতীক পাসওয়ার্ডের মধ্যে পার্থক্য কী?

অতিরিক্ত ব্যবহারকারীর নামটি সুরক্ষার একটি স্তর যুক্ত করতে পারে: ক) আক্রমণকারীর জুড়ি, ব্যবহারকারীর নাম এবং পাসওয়ার্ড উভয়ই জানা উচিত; খ) আক্রমণকারী যদি আপনার সিস্টেমকে লঙ্ঘন করে তবে আক্রমণকারীর পক্ষে এটি কোনও বিশেষ সুবিধাযুক্ত অ্যাকাউন্টে অবিলম্বে অ্যাক্সেস পাবে না।

এক্ষেত্রে পাবলিক কীটিও একটি প্লাস, যেহেতু:

1. আক্রমণকারীটির জন্য আপনার সার্বজনীন কী প্রয়োজন
2. আক্রমণকারীর উন্নত সুযোগগুলি পেতে পাসওয়ার্ড (বা প্রমাণীকরণের পদ্ধতি) প্রয়োজন

Comments

আমি যে পাসওয়ার্ডগুলি ব্যবহার করি তার মধ্যে খুব কম সংখ্যক প্রায় 20 টি র্যান্ডম বর্ণানুক্রমিক অক্ষর (সেট [A-Za-z0-9] প্লাস কয়েকটি বিশেষ অক্ষর)। এই জাতীয় 20 টি অক্ষর (40 এর একটি অক্ষরের সেটের মধ্যে দৈর্ঘ্য 20) আপনাকে 10 ^ 32 সংমিশ্রণের ক্রম দেয়। এন্ট্রপির 128 বিট 10 ^ 38 এর ক্রম হয়। কোনও বিশাল পার্থক্য নয়, সমস্ত বিষয় বিবেচনা করা হয়েছে, এবং এসএসএইচ সার্ভার যে কোনও ধরণের রেট পছন্দ করে তা প্রয়োগ করতে নির্দ্বিধায় তাই এটির মতো নয় যে আপনি সেই ক্ষেত্রে কোনও অফলাইন ব্রুট ফোর্স আক্রমণ করছেন। পাসওয়ার্ডগুলিতে কোনও ভুল নেই, আপনি যদি 128-বিট কী হিসাবে মনে রাখা ততটা কঠিন হিসাবে তাদের সাথে থাকতে পারেন।

— একটি সিএনএন

@ মাইকেল মিঃ ... পরিসর দেবেন না, এখন হ্যাকাররা জানেন যে তাদের 20 অক্ষর দৈর্ঘ্যের ক্রমের রংধনু টেবিল ব্যবহার করা উচিত ...?

— ব্রায়াম

@ ব্রাইয়াম রেইনবো টেবিলগুলি কেবল তখনই কার্যকর যখন আক্রমণকারীটির অফলাইন অনুসন্ধান করতে হ্যাশগুলিতে অ্যাক্সেস থাকে। এখানে ক্ষেত্রে আক্রমণকারীর বিরুদ্ধে যাচাই করার জন্য কেবলমাত্র সার্ভারের প্রতিক্রিয়া রয়েছে, সম্ভবত এটি কেবলমাত্র অনেক প্রচেষ্টা - এবং অনেক ধীর গতির মধ্যে সীমাবদ্ধ।

— পিটার

@ পিটার আপস, আমি উভয় অভিধান এবং হ্যাশগুলিতে গোলমাল করেছি, তবে যে কোনও ক্ষেত্রে ওপি জিজ্ঞাসা করেছিল যে সে কেন দুর্বল বা খালি পাসওয়ার্ড ব্যবহার করবে না, ডাইনী হাস্যকর, সুতরাং আমি কেন হাস্যকর পরিস্থিতি নিয়ে এসেছি কেন সে না করা উচিত। দুঃখিত যে আমার সেভাবে ব্যাখ্যা করা হয়নি এবং এফইউডি হিসাবে নেওয়া হয়েছিল।

— ব্রায়াম

আপনি যদি কিছু 1.8 * 10 ^ 35 পাসওয়ার্ড চেষ্টা করে দেখে মনে করেন (এবং এটি 40 এর একটি সেট থেকে 18-22 এলোমেলো অক্ষরের সীমার জন্য, এবং আপনি জানেন না যে সেটগুলির বাইরে কোন অক্ষর রয়েছে [A-Za-z0- 9] আমি ব্যবহার করি), আমি প্রায় মজা আছে বলেছি। এটি এনট্রপি সমমানের প্রায় 117.1 বিট (2 ^ 117.1 ~ 1.78 * 10 ^ 35) এবং @ পিটার বলেছে যে আপনার সম্ভবত একটি অনলাইন আক্রমণ চালানো দরকার। এই সমস্ত পাসওয়ার্ড (সংকোচনের অবলম্বন না করে) সংরক্ষণ করার জন্য প্রায় 3.6 * 10 ^ 36 বাইট বা 3 * 10 ^ 24 টিবি প্রয়োজন হয় (এবং যদি সেই চিত্রটি কয়েক মাত্রার আদেশের দ্বারা ভুল হয় তবে কে যত্ন করে? ) কীওয়ার্ড এলোমেলো ।

— একটি সিভিএন

Answer 5

আপনি যতক্ষণ না নিরাপত্তার সতর্কতা অবলম্বন করেন এটি ঠিক খারাপ নয়। উদাহরণ হিসাবে আপনি সিএসএফ ইনস্টল করতে পারেন (সার্ভার ফায়ারওয়াল কনফিগার করুন) এবং এটি অনুমোদিত ব্যর্থতার প্রচেষ্টা সংখ্যা নির্ধারণ করতে পারে, তাই যদি কেউ চেষ্টা করে, 5 ব্যর্থতার চেয়ে বেশি চেষ্টা করা যাক? তাহলে সেগুলি স্বয়ংক্রিয়ভাবে অবরুদ্ধ হয়ে গেছে। সুতরাং সেরা উত্তরদাতার পুরো প্রথম অংশটি মোটেই কোনও সমস্যা হবে না। এটি আমার সাথে অনেকবার ঘটেছিল এবং ভাগ্যক্রমে সমস্ত পরিচিতি স্থায়ীভাবে অবরুদ্ধ ছিল। আমি মনে করি একটি সার্ভারের জন্য এটি কোনও বড় সমস্যা নয় যদি আপনি একমাত্র ব্যক্তি সার্ভার পরিচালনা করেন তবে অবশ্যই যদি সেখানে প্রচুর সিস্টেম অ্যাডমিন থাকে, বা আপনি যদি কোনও সংস্থায় কাজ করছেন তবে অবশ্যই ব্যবহার করবেন না রুট। একটি ডেস্কটপ পিসির জন্যও, আমি ধারণা করি যে আপনি প্রচুর সফ্টওয়্যার ব্যবহার করছেন বলে একটি সুরক্ষা ঝুঁকি হওয়ায় অন্য অ্যাকাউন্টটি ব্যবহার করা ভাল is যে র্যান্ডম সফ্টওয়্যারটির উপর আপনি ভরসা করেন না তার পক্ষে যান না, আপনি এটিকে যথাসম্ভব কম রাখার বিষয়ে নিশ্চিত হন। সুতরাং উপসংহারটি হ'ল, না আপনি যদি কোনও সার্ভারটি সঠিকভাবে পরিচালনা করতে জানেন তবে এটি সত্যিই ক্ষতিকারক নয়।