Почему `sudo` медленно, когда пароль неверен? - PullRequest
9 голосов
/ 06 февраля 2012

Когда я ввожу свой пароль для привилегий суперпользователя или для входа в свой ящик Linux, если я правильно его ввожу, он сразу же возвращается, предоставляя мне доступ.Тем не менее, если я сделаю опечатку, придется долго ждать, пока он скажет, что мой пароль неверен.Обычно я понимаю, что запутался задолго до того, как это сделал компьютер.

Почему это так?Насколько я понимаю, пароли пользователей зашифрованы и хранятся в /etc/shadow, поэтому кажется, что мой ввод должен быть просто зашифрован и сопоставлен с тем, что находится в этом файле для моего имени пользователя - что займет примерно столько же времени, если я введуправильный пароль или нет.Есть ли какая-то алгоритмическая причина, например, она должна проверить кучу лишних мест, прежде чем сможет подтвердить, что она неверна?Или, может быть, система знает, что это неверный пароль, но ей приходится много работать, чтобы отследить неверные попытки входа в систему.Или, может быть, он просто пытается наказать меня за то, что я облажался.

Ответы [ 4 ]

5 голосов
/ 06 февраля 2012

Это сделано полностью нарочно: причина в том, что невозможно угадать пароль с помощью атаки по словарю.

Быстрое обращение крайне важно для атаки по словарю Замедление неверных паролей - это способ замедлить атаку на сканирование, делая невозможным выполнение за значимый промежуток времени.

2 голосов
/ 06 февраля 2012

Я не уверен, уместен ли этот вопрос здесь .. Я также не уверен в правильности моего ответа, но я думаю, что это для безопасности.Если сделать это в n раз медленнее, это будет означать, что атака грубой силы займет n раз дольше.

1 голос
/ 06 февраля 2012

Консоль или SSH Вход слишком медленный.Все, что требует пароля, «замедляется», чтобы остановить атаки методом перебора.

1 голос
/ 06 февраля 2012

Медленный ответ от sudo при вводе ошибочного пароля таков, что если вы используете грубую грубую атаку «попробуй угадать пароль» с помощью sudo, вы замедляетесь каждый раз, когда ошибаетесь, так что атака занимает больше времени. У тех, кто использует его на законных основаниях, нет оснований для жалоб. Если вы делаете опечатку время от времени, вы не будете возражать. Если вы действительно не можете ввести свой собственный пароль, возможно, пришло время изменить его на что-то (безопасное), которое вы можете ввести.

...