L’autenticazione tramite password è un metodo di accesso SSH con cui un utente dimostra la propria identità fornendo la password dell’account, anziché una chiave crittografica. Il server SSH verifica la password tramite i meccanismi di autenticazione configurati nel sistema, che possono includere PAM o i dati degli account locali.
Poiché le password possono essere indovinate, riutilizzate o rubate, questo metodo può esporre i sistemi remoti ad attacchi brute force e al furto di credenziali. Nei difetti che dipendono dalla configurazione, le interazioni tra OpenSSH, la libreria C del sistema, le impostazioni degli account e i moduli di autenticazione possono inoltre influire sull’accettazione di un accesso tramite password. Gli amministratori dovrebbero applicare le patch al software interessato, esaminare le impostazioni di SSH e PAM, limitare l’accesso e valutare la possibilità di disabilitare gli accessi tramite password quando l’accesso basato su chiavi è pratico e gestito in modo sicuro.