使用与用户登录密码相同的 ssh 密码是否安全？

Question

主（并且仅在我的情况下）ssh 密钥的密码与我日常使用的计算机的用户登录密码相同是否安全？假设我是该计算机的唯一用户。潜在的安全风险有哪些？

Answer 1

一般来说，重复使用密码是一个坏主意，除非您在同一领域中使用相同的密码，即在由同一组管理的计算机或服务之间，以及通常有权访问其中一台计算机/服务的人员之间可以访问所有这些。

\n\n

您在机器 A 上的帐户的密码在机器 A 上使用，并控制对机器 A 的访问。您在机器 A 上的 SSH 私钥的密码在机器 A 上使用，并控制对其他机器的访问。如果您在两台机器上使用相同的密码并且该密码被泄露，则这会危及机器 A 和其他机器的安全。因此共享密码不利于安全。

\n\n

您在机器 A 上帐户的密码在机器 A 上使用，并控制对机器 A 的访问。您在机器 B 上的 SSH 私钥的密码在机器 B 上使用，并控制对机器 A 的访问。如果您在两台机器上使用相同的密码，那么它就可以从 A 或 B 泄露。因此共享密码不利于安全。

\n\n

密码也可能通过备份泄露。例如，如果您的主目录的备份遭到破坏（或者您不小心将私钥文件上传到 Github \xe2\x80\x94\xc2\xa0you won't be the first\xc2\xb9），攻击者就可以访问到密钥文件。OpenSSH 私钥文件格式容易受到密码暴力攻击。从 OpenSSH 6.5 开始，出现了一种新格式（选择ssh-keygen -o正确使用慢速哈希，但从 OpenSSH 7.7 开始默认不使用它。因此，如果攻击者获得对您的密钥文件的访问权限，则会存在严重风险他们将获得密码，这让他们可以使用密钥并让他们无需密钥即可登录。即使使用缓慢的哈希值，如果您的密码太弱，拥有密钥文件的攻击者也可能能够破解它离线（即仅受他们愿意花费多少电量的限制）。

\n\n

由于这些原因，您不应为 SSH 密钥和用户帐户使用相同的密码。如果您想保护密钥文件，但又不想记住单独的密码，最好使用不易记住的密码并将其存储在密钥环中（Gnome 密钥环确实使用慢速哈希）。\ xc2\xb2

\n\n

\xc2\xb9_{我认为 Github 现在可以防止直接上传密钥文件。}
\n\xc2\xb2_{并且请记住不要泄漏密钥环的备份，但这在实践中比 SSH 问题要小，因为人们倾向于备份包含.ssh配置文件（例如config和 ）的目录authorized_keys。}

\n