Hash ou senha obscura para compartilhamento de rede

Question

Como eu estava configurando meu Wi-Fi, encontrei um tutorial para alterar minha senha não seria armazenado em texto simples (usamos nome de usuário / senha para acesso wifi)

network={
    ssid="NETWORKNAME"
    priority=1
    proto=RSN
    key_mgmt=WPA-EAP
    pairwise=CCMP
    auth_alg=OPEN
    eap=PEAP
    identity="USERNAME"
    password=hash:HASH
    phase1="peaplabel=0" 
    phase2="auth=MSCHAPV2"
}

onde HASH é

echo -n 'YOUR_REAL_PASSWORD' | iconv -t utf16le | openssl md4

Existe uma maneira de fazer algo semelhante para uma montagem de rede do Windows? Atualmente, uso mount -t cifs -o username=USERNAME,password=PASSWD //192.168.1.88/shares /mnt/share para montar um compartilhamento de rede, mas gostaria de manter minha senha fora de texto simples (estou ciente de maneiras de proteger o texto simples ou torná-lo legível apenas pelo root, não é isso que eu quero).

Posso alterar minha senha para um compartilhamento de rede cifs de maneira semelhante ao que eu consegui fazer para WiFi?

    

Answer 1

Não, você não pode ocultar a senha. Seu computador precisa ser capaz de apresentar a senha ao servidor. Isso significa que o que quer que seja que você use para obscurecer a senha, seu computador tem que ser capaz de pegar o formulário obscurecido e decodificá-lo. Se o seu computador conseguir, o computador de qualquer pessoa pode fazer isso.

O caso do EAP é diferente na superfície porque para o EAP o cliente precisa apresentar o hash NTML da senha. Mas isso significa que efetivamente a senha é esse hash e não a entrada legível por humanos. Então, na verdade, mesmo com hash: no arquivo de configuração, o arquivo de configuração contém a senha em texto não criptografado.

O tutorial que você lê é muito enganador, sugerindo que hashing da senha EAP no arquivo tem um benefício de segurança significativo. Na verdade, ele não tem nenhum benefício se você não usar essa senha para mais nada, pois como vimos acima, a senha efetiva é o hash. Se a mesma senha também é usada para outra coisa (onde o servidor quer a senha e não seu hash), então há algum benefício, mas é limitado porque o MD4 é muito fácil para a força bruta.

Se você não quiser digitar sua senha toda vez, sua melhor opção é armazenar a senha em um gerenciador de senhas e garantir que somente você possa acessar o gerenciador de senhas. Certifique-se de que ele esteja criptografado no disco caso alguém roube o seu computador (é claro que isso significa que você terá que descriptografar o contêiner de senha em algum momento após o bootig). Mas se alguém ganhar acesso ao seu computador, eles terão acesso à senha. Não há como evitar isso.

Se você puder influenciar a configuração do servidor e desejar melhorar a segurança, considere a possibilidade de ativar a autenticação Kerberos, que, se estiver totalmente configurada, permitirá que você acesse compartilhamentos de rede usando sua senha de login.