登录系统的『紧急口令』应该以什么原则选用为好？

[MFWT]

嗯，最后我还是去广州旅行了，在被称为世界最高城的动漫星城晃悠去了

背景

动漫星城没到点没开门，在外面瞎转悠

然后，看到了有关一个软件的安装教程，想装起来试试

打开 JuiceSSH ，准备登录的时候才想起个问题：这台服务器我关掉了密码登录，只能密钥登录，但是我出门在外，并没有给手机上的 SSH 软件装载私钥

是的，我暂时登录不上这台服务器了

设想

密码登录（或者说，口令登录）的痛点在于容易被人爆破密码，那么如果我设定一个足够强的密码，理论上应该可以大幅度减轻这个问题严重程度？

为了方便记忆和推算，我设想中用的是

k = to_lower(sha256(s))

其中 s 是我记得的一个比较高强度的口令（ 14 个字符，大小写特殊符号和数字都有）

当然，我知道，这个做法的安全性，比不上用完一次即失效的『紧急登录刮刮码』

那么问题来了：

1. 这种方法会比直接使用原来的口令要安全吗？
2. 是否应该在 hash 的时候手动对口令进行加盐处理（比如，该机器的 IPv4 地址的第一段）？
3. SHA256 是否可以满足『认为是安全的』的口令长度的需求？

谢谢解答

[Puteulanus]

https://userify.com
以前用过，等于对所有服务器接受的 SSH 公钥进行集中管理，界面有点简陋不过用着还行

[rimutuyuan]

把自己的生日 hash 1000 次

[keith1126]

obfuscation is not security

用各种奇技淫巧对密码做各种处理，不论是 sha256 还是 base64 ，本质上只是混淆，并不能增加密码的安全性。

但回到问题本身，s 本身已经是高强度密码，所以开心就好……做不做这些都没啥区别

[Maboroshii]

没有人知道你的口令放在哪里，比如，你可以写在鞋垫子上

[TigerK]

两步验证吧，就是需要输入一组只有 30 秒有效期的数字作为另一道防线。

[caomingjun]

以我目前的架构，我可以以 yubikey 的 FIDO 加上一段短密码为凭证，向 SSH CA 请求签发有效期两分钟的证书
但是我好像没这种需求

[laqow]

会不会给 VPN 设强密码，服务器密码 123456 简单一些？

[rekulas]

你感觉 sha256 弱是因为大多是 hex 展示的,本身字符集就只有 16 个同长度自然看起来要弱点,但你完全可以直接用 base64 或者自研 basexxx 算法来映射,安全性就高了
例如我的 vps1 的密码种子是: 黑 5 打折买的廉价美国 vps
sha256(hex): e1e2b03f23a306a6104dfa6bd976e365eb553f4d56c33cc867bfadb861705618
sha256(base64): 4eKwPyOjBqYQTfpr2XbjZetVP01WwzzIZ7+tuGFwVhg=
自研映射(base128?): Nz$puJtF7^jKFDy6@m(7-*)...

[danhahaha]

可以使用一个 [ 固定的复杂密码+当前（月日时分）的时间 ] 组合之后再加密的密码，这样的话，这个密码只有你自己知道，而且任何时候都不一样，强度也足够

[swulling]

非要用密码的话，可以用双因素验证。

一个简单的方案就是密码加 google/microsoft 验证器。

[cosette]

仅考虑密码口令本身的强度的话，难记的密码强度不一定高，折中的办法是选择 8 个单词配合数字，长度足够长，也容易记忆。

类似于这里的 passphrase 生成方法，多记忆几次就熟悉了。

[cosette]

@cosette https://bitwarden.com/password-generator/ 补上网址

[nznd]

为了应对这个情况我做了一个快捷指令可以扫码添加 ssh key (提前把快捷指令的 pub key 添加进去）

[MFWT]

@laqow 因为有服务器在境外，VPN 连接容易受到干扰，所以暂不考虑这个

[p1gd0g]

两步验证不好吗

[lisxour]

使用无密码方案