SSH:登录时,密码是否为纯文本/ sniffable？

Question

我意识到这个问题是主观的.

我很好奇创建SSH隧道时SSH密码的可懂度.一旦密码经过身份验证,安全会话是否开始,或者密码本身是否封装在此安全连接中？

在今天早上在办公室进行了一次有趣的辩论之后,除了SSH密码在带有键盘记录器的客户端上受到攻击的可能性之外,我很好奇使用局域网上的数据包嗅探工具也可能会破坏SSH密码. ,或安装在客户端和服务器之间的任何代理上.它开启了一个更广泛的辩论,关于通过SSH隧道登录到私人服务(如家庭NAS或电子邮件)的智慧,同时登录到在几个中间代理/后面运行的客户端.(即,在工作中),尤其是声称Ettercap等工具能够窥探SSH数据包.

我假设可以对SSL/HTTPS进行相同的考虑,其中网站不会将密码解析为单向哈希,例如MD5？

你的思考将是最受欢迎的.

谢谢.

Answer 1

摘自openssh的联机帮助页:

最后,如果其他身份验证方法失败,ssh会提示用户输入密码.密码被发送到远程主机进行检查; 但是,由于所有通信都是加密的,因此在网络上收听的人无法看到密码.

Answer 2

SSH无缘无故没有被命名为“ Secure Shell” ：）。

SSH使用公钥加密进行身份验证，这本身就非常安全。如果我们假设攻击者没有用户和ssh守护进程的私钥，那么仅通过侦听网络就无法解码密码。

就像大多数其他协议一样，该协议也无法保护您免受来自其他方面的攻击。在中间攻击中，社会工程和人的组合有多种，例如SSH版本降级攻击和DNS欺骗攻击。