标签: security

我创建了一个私有/公共 dsa-keypair。我已经把服务器上的公钥放在

~/.ssh/authorized_keys

一切都像我的其他服务器一样设置，但似乎服务器只是无视我的努力。

我想知道利弊.. 支持和反对系统管理员使用密码维护用户帐户列表的想法的原因.. 并且另外不允许这些用户更改他们的密码。

我知道像 Windows 这样的系统似乎鼓励用户应该维护自己的密码安全并被允许随意更改密码的想法。我可以理解需要隐私和拥有不在场证明的用户在同事的话不同意系统日志的情况下保护自己。但同时我也可以看到，如果需要访问用户可能希望保密的某些材料，有些人可能会证明将用户的密码存档是合理的。

我真的很想接受这个想法的教育。

刚刚收到供应商的电子邮件，通知我们他们将强迫我们每六个月更改一次密码，我很想知道人们使用什么密码过期策略以及他们为什么使用它们。

• 偏执狂是否被认为是系统/网络管理员（显然是出于安全原因）的（不言而喻的）“要求”？

• 是否存在过度偏执这样的事情？还是我们应该信任他人，而不是通过精神分裂症护目镜完全专注于质疑场景？

  在安全性方面，此特性是否存在“中间立场”？（基本上，我要问的是，你会雇用谁？）

更新：我没想到人们会如此强调“偏执狂”这个词。请不要过多讨论它，我可以用另一个词，但偏执是我们通常使用的安全词。我从一群 IT 人员那里听说过“太偏执”和“需要更加偏执”。

根据Internet Storm Center 的说法，那里似乎存在 SSH 零日漏洞。

这里有一些概念代码证明和一些参考：

• http://secer.org/hacktools/0day-openssh-remote-exploit.html
• http://isc.sans.org/diary.html?storyid=6742

这似乎是一个严重的问题，所以每个 Linux/Unix 系统管理员都应该小心。

如果这个问题不及时修补，我们如何保护自己？或者您通常如何处理零日漏洞？

*我会在回复中发布我的建议。

我可能在这里做梦，

但是有没有可靠的方法来检测键盘记录软件？我主要是一名开发人员，但我运行了几台服务器，最让我担心的是我个人系统上的一个软件键盘记录器，它可以很好地保持安静。

有什么方法可以确保我的个人系统上没有软件键盘记录器窃取我所有的 RDP 密码？

在IIS 5.0中，默认情况下应用程序池的身份帐户是ASPNET，网站除非启用模拟，否则在其应用程序池的身份帐户下运行。

但是在 IIS 7.0 中，有两个地方可以配置我的网站将使用的帐户。在应用程序池级别和网站级别。

我希望网站标识覆盖应用程序池标识，但我刚刚看到情况并非如此。

那么，有什么区别呢？

这可能是一个菜鸟问题，但我如何确定某人给我的公共 SSH 密钥是否有密码？

我们有一种情况，我没有为用户生成 SSH 密钥，但我想确保我放在服务器上的每个 SSH 密钥都有一个密码，但我觉得密码只是私钥的一部分。

谢谢！

谁能举一个真实的例子来说明 SELinux 在哪里拯救了他们的安全培根？（如果您愿意，也可以使用 AppArmour）。如果不是您自己的，请指点具有可靠经验的人？

不是实验室测试，不是白皮书，不是最佳实践，不是 CERT 建议，而是一个真实的例子，比如 audit2why 显示真正的黑客尝试停止了？

（如果您没有示例，请在评论中保留评论而不是答案。）

谢谢！

据我了解，在无线网络中实施时，EAP-TTLS 和 PEAP 具有相同的安全级别。两者都仅通过证书提供服务器端身份验证。

EAP-TTLS 的缺点可能是 Microsoft Windows 中的非本机支持，因此每个用户都必须安装其他软件。

EAP-TTLS 的好处是可以支持不太安全的身份验证机制（PAP、CHAP、MS-CHAP），但为什么在现代且安全的无线系统中需要它们？

你有什么意见？为什么我应该实施 EAP-TTLS 而不是 PEAP？假设我拥有最多的 Windows 用户、中等 Linux 用户和最少的 iOS、OSX 用户。