L’autenticazione basata su password è un metodo di accesso in cui l’utente dimostra la propria identità inserendo una password segreta. È semplice e ampiamente supportata, ma le password possono essere indovinate, riutilizzate, sottratte tramite phishing o intercettate quando gli utenti le inseriscono in un servizio di accesso falso. In una connessione SSH, la cifratura protegge le credenziali durante il trasferimento al server previsto; non è d’aiuto se un utente viene reindirizzato a un impostore e ne accetta l’identità.
Gli aggressori possono sfruttare siti web ingannevoli, percorsi compromessi o server falsi per raccogliere password. Le misure di difesa includono la verifica dell’identità del server, l’uso di password uniche e robuste insieme a limiti ai tentativi e l’attivazione dell’autenticazione a più fattori. Per gli accessi SSH sensibili, l’autenticazione a chiave pubblica può ridurre la dipendenza dalle password, anche se è necessario proteggere e verificare anche le chiavi e le identità degli host dei server.