8

登录系统的『紧急口令』应该以什么原则选用为好？

 1 year ago
source link: https://www.v2ex.com/t/949658
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
neoserver,ios ssh client

V2EX  ›  程序员

登录系统的『紧急口令』应该以什么原则选用为好？

  MFWT · 2 小时 19 分钟前 via Android · 558 次点击

嗯，最后我还是去广州旅行了，在被称为世界最高城的动漫星城晃悠去了

动漫星城没到点没开门，在外面瞎转悠

然后，看到了有关一个软件的安装教程，想装起来试试

打开 JuiceSSH ，准备登录的时候才想起个问题：这台服务器我关掉了密码登录，只能密钥登录，但是我出门在外，并没有给手机上的 SSH 软件装载私钥

是的，我暂时登录不上这台服务器了

密码登录（或者说，口令登录）的痛点在于容易被人爆破密码，那么如果我设定一个足够强的密码，理论上应该可以大幅度减轻这个问题严重程度？

为了方便记忆和推算，我设想中用的是

k = to_lower(sha256(s))

其中 s 是我记得的一个比较高强度的口令（ 14 个字符，大小写特殊符号和数字都有）

当然，我知道，这个做法的安全性，比不上用完一次即失效的『紧急登录刮刮码』

那么问题来了：

  1. 这种方法会比直接使用原来的口令要安全吗？
  2. 是否应该在 hash 的时候手动对口令进行加盐处理（比如，该机器的 IPv4 地址的第一段）？
  3. SHA256 是否可以满足『认为是安全的』的口令长度的需求？

第 1 条附言  ·  39 分钟前

更进一步：

4. 如果把上述算法中的 to_lower 替换为 base64 ，是否可以起到增加密码熵的作用？

5. 续 4 ，如果把`sha256(pwd+salt)`，换成成品的 KDF 算法（仅考虑 JavaScript 实现），是否增加一定的安全性？

report

Recommend

About Joyk


Aggregate valuable and interesting links.
Joyk means Joy of geeK