Есть ли у кого-нибудь мнение об использовании UUID в качестве паролей? Это предназначено для учетных записей, созданных для внешних пользователей, например для доступа клиентов к частным папкам SFTP. Или вместо этого люди используют открытый ключ? У этих пользователей нет оболочки и они привязаны к своему каталогу.
На странице руководства:
UUID - это 128-битные числа, которые имеют высокую вероятность уникальности в пространстве и времени, и их трудно угадать с помощью вычислений. Это глобальные уникальные идентификаторы, которые можно генерировать локально, не обращаясь в глобальный центр регистрации. UUID предназначены как уникальные идентификаторы как для объектов массовой маркировки с чрезвычайно коротким временем жизни, так и для надежной идентификации очень устойчивых объектов в сети.
Я использую Ubuntu 9.10, но OSSP uuid пакет доступен для большинства дистрибутивов * nix.
Есть много способов сгенерировать UUID, некоторые из которых, скорее всего, легко угадываются. Например, текущее время часто является компонентом и находится прямо там, как и MAC-адрес машины и т. Д. Не путайте уникальное с нераспознаваемым.
Я бы не стал пытаться перенаправлять UUID для паролей, а вместо этого выбрал бы надежный генератор паролей. Если вы думаете об использовании UUID в качестве пароля, четкая возможность его запоминания не важна, поэтому я бы выбрал что-то вроде вывода MD5 с несколькими байтами из / dev / random или / dev / urandom:
dd if=/dev/random bs=128 count=1 | md5
Или, что еще лучше, используйте инструмент, разработанный специально для создания надежных паролей. В идеале те, которые пользователи могут запомнить, не записывая их.
Чем выше уровень сложности пароля, тем выше вероятность того, что пользователь запишет его в заметке и прикрепит к своему монитору, что вдобавок требует затрат на поддержку, если пользователь забудет пароль.
При использовании ключей SSH рекомендуется (но не обязательно) вводить пароль для защиты ключа. Пароли запомнить легче, чем пароли, например:
Это снизит количество звонков для сброса забытых паролей и повысит безопасность, потому что ваши пользователи смогут запоминать их, не записывая их.
Я думаю, что теоретически использование случайных UUID для машинных паролей, ключей API и т. Д. - хорошая идея. Но их нужно записать или скопировать / наклеить. Они не очень хороши, когда людям приходится вводить их (но вы сказали, что они спасутся)
Команда OSSP uuid по умолчанию генерирует UUID версии 1. Это основано на MAC-адресе текущего устройства и текущем времени. Так что не так безопасно, как кажется.
Если ты бежишь uuid -n 10, который генерирует 10 UUID, вы увидите, что многие символы совпадают.
Если вы сделаете uuid -v4 это даст вам случайный UUID. Лучше, чем по умолчанию.
Я взглянул на источник OSSP UUID и не могу решить, достаточно ли случайности или нет. Источник не обновлялся в течение 10 лет, и с тех пор было много исследований и точек зрения на создание криптографических случайных чисел. Наверное, нормально.
Мой любимый способ получить случайный uuid на машине с Linux: cat /proc/sys/kernel/random/uuid
Для истинных параноиков вы также можете подумать, сколько случайных данных доступно на используемом вами компьютере. cat /proc/sys/kernel/random/entropy_avail Вы ищете большое число, например, более 1000. Если вы находитесь на виртуальной машине, мало что делаете, у вас могут возникнуть проблемы.