Administrace komentářů

Plus deset. Nemusí nutně jít jenom o SSH klíče — na spoustě webových a mailových serverů se dá autentifikovat pomocí x.509 klíčů a certifikátů, což podporují browsery i mailoví klienti. Vždycky je lepší mít nějakou vrstvu zabezpečení navíc. Zašifrovaný klíč má tu výhodu, že použití jakýchkoliv (potenciálně slabých) hesel končí na lokálním počítači při odemykání toho klíče — nikde tam není příležitost pro vzdálený slovníkový útok na heslo. Ukradení počítače s klíčem už slovníkový útok umožňuje, ale taky mnoho škody nenapáchá, pokud se příslušný certifikát včas revokuje. (Jinak to může dopadnout u zapnutého počítače s odemčeným klíčem, ale tam už si člověk nevybere. Zabezpečení nemůže být dokonalé.)

Jakmile má člověk nějakou rozumnou distribuci certifikátů, může je snadno aplikovat i na WiFi. Proto i na domácí síti používám EAP-TLS. Neexistuje tam žádná autentifikace heslem a v případě ztráty zařízení se dá příslušný certifikát jednoduše revokovat. Zcela odpadá problém s povinnou změnou hesel, s hesly příliš podobnými těm předchozím a tak podobně. Certifikát zkrátka vyprší (třeba za rok) a pak je třeba vygenerovat nové klíče. Jakmile heslo slouží jen pro odemčení soukromého klíče a nepoužívá se pro vzdálenou autentifikaci, poskytuje to drobný bezpečnostní prvek navíc. Protokoly typu 802.1x fungují i po ethernetu, takže se dá s trochou snahy v podstatě stejným způsobem zabezpečit i drátová síť, například v prostředí, kde existují příliš snadno dostupné ethernetové porty.

Překážkou v nasazení tohoto mechanismu ovšem může být orthodoxní ignorantství ze strany takzvaných „normálních uživatelů“. To je někdy opravdu nepřekonatelné.