जवाबों:
आप निश्चित रूप से एक सार्वजनिक वाई-फाई नेटवर्क पर पैकेट पर कब्जा कर सकते हैं लेकिन अगर आप एसएसएच का उपयोग कर रहे हैं और आपके पासवर्ड स्पष्ट में नहीं भेजे गए हैं तो आप जिस चीज को कैप्चर करेंगे, उसे डिक्रिप्ट करने में काफी थोड़ा समय लगेगा।
SSH को एक अविश्वसनीय नेटवर्क में प्रयोग करने योग्य बनाया गया है। Wifi, वायर्ड, इससे कोई फर्क नहीं पड़ता: SSH मानता है कि सभी ट्रैफिक पर एक हमलावर द्वारा नजर रखी जा सकती है, और यहां तक कि हमलावर पैकेट को इंटरसेप्ट करने और उन्हें अलग-अलग करने की कोशिश करेगा।
पहली बार जब आप किसी विशेष क्लाइंट से किसी विशेष सर्वर पर ssh चलाते हैं, तो ssh आपसे पूछता है
The authenticity of host 'example.com (192.0.2.42)' can't be established.
RSA key fingerprint is 01:23:45:67:89:ab:cd:ef:01:23:45:67:89:ab:cd:ef.
Are you sure you want to continue connecting (yes/no)?
इस बिंदु पर, आपको यह जांचने की आवश्यकता है कि दूरस्थ सर्वर की पहचान (कुंजी फिंगरप्रिंट द्वारा दी गई) वह है जिसकी आप अपेक्षा करते हैं; एक हमलावर सर्वर के रूप में पारित करने की कोशिश कर सकता है। एक बार जब यह सत्यापन हो जाता है, और उस क्लाइंट से उस सर्वर के हर बाद के कनेक्शन के लिए, आप भरोसा कर सकते हैं कि ई-कॉमर्स और विश्वसनीय द्वारा संचार की जासूसी नहीं की जा सकती है (इसमें आपके द्वारा टाइप की गई कमांड वास्तव में सर्वर पर जाती हैं और प्रतिक्रियाएं वास्तव में होती हैं। सर्वर भेजे गए)।
Evesdroppers ssh सत्र में डेटा प्राप्त नहीं कर सकता है, लेकिन वे ट्रैफ़िक की मात्रा के साथ-साथ इसके समय का भी निरीक्षण कर सकते हैं। इससे गोपनीय डेटा लीक हो सकता है ; अंतःक्रियात्मक रूप से टाइप किए गए पासवर्ड विशेष रूप से जोखिम में होते हैं: वे कनेक्शन की शुरुआत में पहचानना आसान होते हैं, और वे चरित्र द्वारा चरित्र भेजे जाते हैं, इसलिए ईवेर्सडॉपर कीस्ट्रोक्स के बीच के समय को माप सकता है, और प्रत्येक उपाय उसके लिए थोड़ा आसान बनाता है। पासवर्ड का अनुमान लगाने के लिए ( आसान का मतलब आसान नहीं है !)। यह कमजोरी सार्वजनिक कुंजी प्रमाणीकरण को प्रभावित नहीं करती है, जिसे सुरक्षा और प्रयोज्य दोनों के लिए पासवर्ड की सिफारिश की जाती है।
SSH एन्क्रिप्टेड है। लेकिन अंगूठे का नियम यह है कि, भले ही मुश्किल हो, आपको कभी भी किसी सार्वजनिक चैनल के माध्यम से भेजे गए कुछ को ग्रहण नहीं करना चाहिए।
मैं एक बार एक लेख में चला गया कि एसएसएच पासवर्ड सांख्यिकीय विश्लेषण के लिए कैसे असुरक्षित हैं - यही एक तरीका है जिससे आप क्रेडेंशियल्स को क्रैक कर सकते हैं।
पासवर्ड को सूँघा जा सकता है, इसके लिए संबंधित क्लीयरटेक्स प्राप्त करना आसान नहीं है।
आप सार्वजनिक-निजी कीपियों जैसी अन्य प्रमाणीकरण रणनीतियों का भी पता लगा सकते हैं, जो पासवर्ड को तोड़ना उतना आसान नहीं हो सकता है (जहाँ तक कि आप तेज़ी से कारक नहीं बना सकते हैं)।