Authentication

之前 @quakelee 提的一个问题（通道上登录第二台机器作为跳板登录第三台机器，但不把ssh私钥传到中间那台机器上）。如果shell是csh，在 ~/.cshrc 中加入：

source ~/auth.csh
[ -e ${SSH_AUTH_SOCK} ] || ssh-agent -t 15m -c > ~/auth.csh && source ~/auth.csh

然后所有的 csh 就可以使用同一个ssh agent了。

SSH提供了很多种不同的身份验证，其中最常用的两种便是密码验证和基于公钥/私钥的身份验证。

基于公钥/私钥的身份验证有非常多的优点。

首先，公钥/私钥可以从根本上挫败监听来截取验证信息的企图。

许多新的笔记本计算机系统配备了基于指纹的身份识别系统。与通常人们的认知不同，这类系统的安全性往往仅仅与使用口令相当，甚至要比基于口令的身份认证系统来的更差；这类系统的价值在于，它们简化了用户的身份验证过程，而不是其改善了系统的安全性。

前几天 hzqbbc 兄 [blog]在blog上留言中提及此事，正好就这个话题说两句。

通常我们在设计安全系统的时候，会希望在满足功能的前提下为每个用户授予最少的权限。对一个数据元而言，假如我们限定允许的权限包含：写、读(获取其内容)、验证(判断给定值是否有很大概率与其相等)、判断其是否存在、完全没有这5类时，通常我们会发现，比较靠前的权限会包含(或暗含)靠后的权限，或者说，靠前的授权要比靠后的授权来的大。(注意，此处我们并不考虑拥有写权限，而没有读权限这种情形，这种授权通常见于文件系统)。