<html><head><style type='text/css'>p { margin: 0; }</style></head><body><div style='font-family: Arial; font-size: 12pt; color: #000000'>It's also a problem with servers with SSD's.&nbsp; I ran into this myself.<br><br>Andy<br><br><hr id="zwchr"><blockquote style="border-left: 2px solid rgb(16, 16, 255); margin-left: 5px; padding-left: 5px; color: rgb(0, 0, 0); font-weight: normal; font-style: normal; text-decoration: none; font-family: Helvetica,Arial,sans-serif; font-size: 12pt;"><b>From: </b>"Jason T. Greene" &lt;jason.greene@redhat.com&gt;<br><b>To: </b>"Darran Lofthouse" &lt;darran.lofthouse@jboss.com&gt;<br><b>Cc: </b>jboss-as7-dev@lists.jboss.org<br><b>Sent: </b>Monday, November 14, 2011 7:53:38 AM<br><b>Subject: </b>Re: [jboss-as7-dev] How hard would it be to support key based auth by default to make life simpler and more secure ?<br><br>It's something I thought about, we would have to make up a bunch of <br>stuff in the CERT (not a big deal I guess). Although the thing I worry <br>about is that cert generation requires gathering a major amount of <br>entropy from /dev/random. It would seriously affect boot time, and it <br>would potentially pause for a long period to gather more entropy. This <br>is a problem for headless devices for example, that don't have a <br>keyboard and mouse connected to them.<br><br>On 11/14/11 7:57 AM, Darran Lofthouse wrote:<br>&gt; It would need to be SSL not SSH as we need to support the mechanism for<br>&gt; both the Native interface and the HTTP interface but I am starting to<br>&gt; like this as an out of the box scenario.<br>&gt;<br>&gt; The advantage we have for the browser is we can always display a nice<br>&gt; HTML page when they connect with full instructions, it is the other<br>&gt; mechanisms where we have less opportunity to dynamically provide guidance.<br>&gt;<br>&gt; On 11/14/2011 01:42 PM, Bill Burke wrote:<br>&gt;&gt; You could just have the app-server automatically generate the keys for<br>&gt;&gt; you the first time it ever boots (or even every boot cycle). &nbsp;Just have<br>&gt;&gt; the CLI look at a pre-defined directory for the generated key-pair. &nbsp;THe<br>&gt;&gt; idea here is that CLI works perfectly out-of-the-box with no config on<br>&gt;&gt; the same machine as the CLI runs on. &nbsp;What is still protected is a<br>&gt;&gt; remote machine accessing the app-server. &nbsp;This is fine, IMO.<br>&gt;&gt;<br>&gt;&gt; Usability problems still exist though as you would need to import the<br>&gt;&gt; client-auth key into your browser. &nbsp;But, maybe this is a good thing as<br>&gt;&gt; it will require the user to think about how they want to secure the<br>&gt;&gt; app-server.<br>&gt;&gt;<br>&gt;&gt; On 11/14/11 6:40 AM, Max Rydahl Andersen wrote:<br>&gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt; These will make all examples that uses maven deploy plugin, cli scripts, arquillian, jboss tools etc. to somehow<br>&gt;&gt;&gt;&gt;&gt;&gt; either tell users to type in their username and full password in clear text in pom.xml and other files.<br>&gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt; Which sounds worse to me than a default locked down to only localhost…but I'm not a security expert :)<br>&gt;&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt;&gt; I was wondering how hard it would be to make the authentication support key based auth by default and we make<br>&gt;&gt;&gt;&gt;&gt;&gt; the tools use ${user.name} and ${user.home}/.jboss/default.pub and .priv (or some other name) for the public/private keys ?<br>&gt;&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt;&gt; You would need a key-based SASL authentication mechanism. &nbsp;There are no<br>&gt;&gt;&gt;&gt;&gt; standard ones as of right now. &nbsp;If you know of a key-based SASL<br>&gt;&gt;&gt;&gt;&gt; mechanism that you think we should support, let me know and we'll<br>&gt;&gt;&gt;&gt;&gt; evaluate it.<br>&gt;&gt;&gt;&gt;<br>&gt;&gt;&gt;&gt; We would have to do noauth + SSL + trust. I think it's an option worth considering. The big problem though is that we have to have a setup process to generate the certs, which is greater complexity than the user/pass option. We would have to generate a host key pair and a client key pair.<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;<br>&gt;&gt;&gt; I'm not an expert on these things at all but eclipse uses http://www.jcraft.com/jsch/ to manage and create ssh keys and uses the standard .ssh location's etc.<br>&gt;&gt;&gt;<br>&gt;&gt;&gt; Is something additional needed ?<br>&gt;&gt;&gt;<br>&gt;&gt;&gt; /max<br>&gt;&gt;&gt; http://about.me/maxandersen<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;<br>&gt;&gt;&gt;<br>&gt;&gt;&gt; _______________________________________________<br>&gt;&gt;&gt; jboss-as7-dev mailing list<br>&gt;&gt;&gt; jboss-as7-dev@lists.jboss.org<br>&gt;&gt;&gt; https://lists.jboss.org/mailman/listinfo/jboss-as7-dev<br>&gt;&gt;<br>&gt; _______________________________________________<br>&gt; jboss-as7-dev mailing list<br>&gt; jboss-as7-dev@lists.jboss.org<br>&gt; https://lists.jboss.org/mailman/listinfo/jboss-as7-dev<br><br><br>-- <br>Jason T. Greene<br>JBoss AS Lead / EAP Platform Architect<br>JBoss, a division of Red Hat<br>_______________________________________________<br>jboss-as7-dev mailing list<br>jboss-as7-dev@lists.jboss.org<br>https://lists.jboss.org/mailman/listinfo/jboss-as7-dev<br></blockquote><br></div></body></html>