Alla pari degli scontri politici tra fazioni avverse, nel mondo dell’informatica ed in questo caso nel mondo degli amministratori di sistema Linux ci sono due fazioni che combattono una battaglia poco sanguinosa ma molto stimolante. Si tratta dell’eterna lotta tra i sostenitori dell’autenticazione con password e tra quelli che alle password preferiscono le chiavi pubbliche. Nonostante si tratti di procedure molto semplici e naturali per chi gestisce giornalmente sistemi Linux, una singola e semplice azione quale può essere quella di un login viene elevata a terreno di “scontro” tra opposte correnti di pensiero.

Nella realtà ogni approccio è funzionale allo scopo ed ogni individuo è libero di scegliere ciò che più gli aggrada. Nella pratica l’autenticazione con password è stata da sempre evitata come un appestato. Per i profani vale la pena ricordare le differenze tra autenticazione con chiave pubblica ed autenticazione con password. In parole povere l’autenticazione basata su chiave pubblica consente di sfruttare tutta la versatilità della crittografia per generare sul sistema client una coppia di chiavi, una privata e l’altra pubblica. La chiave pubblica verrà condivisa con il sistema servente (server) e consentirà di eseguire (dopo il primo login con password) l’autenticazione al server senza la necessità di dover digitare una password. Nei manuali di amministrazione di sistema per Linux viene consigliato, dopo l’impostazione di questo tipo di autenticazione la completa disattivazione dei login con password e del login di root. Questo approccio però presenta parecchi punti deboli. Il mondo dei server è formato prevalentemente da macchine fisiche a cui gli operatori hanno direttamente accesso dall’interno del datacenter, accesso che viene comodamente reso disponibile molto spesso con console seriali o attraverso VPN. Il discorso è cambiato nel momento in cui il mercato dei server si è rivolto al pubblico nel senso più ampio del termine. Nel momento in cui il provider ha deciso di mettere in vendita server dedicati e VPS a noleggio, la possibilità di avere accesso fisico al datacenter è diventata merce rara, anche per gli operatori più tradizionalisti. Il server nell’epoca moderna si gestisce da remoto. Ecco, a questo punto consideriamo una situazione limite in cui dopo aver impostato l’autenticazione con chiave pubblica quest’ultima viene smarrita o resa indisponibile. Improvvisamente il server a cui l’operatore aveva accesso senza necessità di digitare la password diventa un fortino da riconquistare. Il login root è stato disabilitato così come anche ogni login basato sull’immissione di password. E’ il panico. Senza accesso fisico al server diventerà quasi impossibile recuperarne il controllo e si renderà necessario un intervento di reset sul server con un boot di rete e la successiva possibilità di reimpostare l’accesso via password per ripetere la procedura di impostazione delle chiavi pubbliche. Situazioni da panico come questa oggigiorno sono un ricordo lontano con i provider che mettono a disposizione le comode modalità di ripristino remoto. Presso i fornitori meno automatizzati invece il rischio di rimanere tagliati fuori dal proprio server in seguito ad operazioni maldestre è veramente molto alto. L’autenticazione con chiave pubblica inoltre non è priva di rischi anche sul versante della sicurezza fisica del sistema client. Un sistema su cui risiede una chiave pubblica utilizzata per l’accesso a più server, nel momento in cui venisse trafugato regalerebbe all’attaccante campo libero nella compromissione a catena dei server che accettano l’autenticazione dalla chiave pubblica presente sul client violato. Scenari apocalittici per un amministratore di sistema ma meno fantascientifici di quanto possano sembrare. Autenticazione con password o con chiavi pubbliche? La lista dei pro e dei contro è lunga per ambedue le modalità ma riflettendo con il senno di poi viene fuori che il sempreverde meccanismo basato sul login via password può nascondere più insidie del concorrente. E voi, quale modalità di login prediligete? Alla prossima.