sudo: 3 টি ভুল পাসওয়ার্ডের প্রচেষ্টা - রুটটি কি স্পষ্ট পাঠ্যে পাসওয়ার্ডটি দেখতে পাবে?

Question

যদি কিছু ব্যবহারকারীর sudo3 বারের সাথে কিছু কমান্ড অ্যাক্সেস করতে না পারে তবে এটি ব্যবহারকারীর অ্যাক্সেস লগ root ত্রুটিগুলিতে রুট হওয়া উচিত should

লগগুলিতে পাঠ্যে কী এই প্রচেষ্টাগুলি (পাসওয়ার্ডের চেষ্টা করা মতো) দেখতে পাবে?

Comments

অন্তর্নিহিত অনুমান: মূলটি মন্দ হচ্ছে না। লগ ইন করার চেষ্টা করার সময় যদি রুটটি ইতিমধ্যে মন্দ হয়ে থাকে তবে সমস্ত বেট বন্ধ রয়েছে।

— জোশুয়া

বেশিরভাগ সিস্টেমে কিছু কনফিগার করা তুচ্ছ, তবে এটি আমার জানা কোনও ডিফল্ট কনফিগারেশনের অংশ নয়।

— প্লাজমাএইচএইচ

বাধ্যতামূলক xkcd xkcd.com/838

— জো

কেবল ভুল প্রচেষ্টা গণনাগুলি রুট হিসাবে জানানো হয়। রুট এন্ট্রি পাসওয়ার্ডগুলি মোটেও দেখতে পাচ্ছে না।

— মোহাম্মদ খোলগি

Answer 1

না, পাসওয়ার্ডগুলি ডিফল্টরূপে লগ হয় না। এটি কোনও সুরক্ষা সমস্যা হবে কারণ লগগুলি অন্য প্রশাসকরা পড়তে পারে, কিছুটা ভুল টাইপ করা পাসওয়ার্ডের ক্ষেত্রে ব্যবহারকারীর ছদ্মবেশ তৈরি করতে দেয়।

Answer 2

লগইন প্রচেষ্টা সফল এবং ব্যর্থ লগ ইন

/var/log/auth.log

একটি সফল প্রচেষ্টার উদাহরণ:

Oct 23 21:24:01 schijfwereld sudo: rinzwind : TTY=pts/0 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash
Oct 23 21:24:01 schijfwereld sudo: pam_unix(sudo:session): session opened for user root by (uid=0)

এবং ব্যর্থ:

Oct 23 21:25:33 schijfwereld sudo: pam_unix(sudo:auth): authentication failure; logname= uid=1000 euid=0 tty=/dev/pts/1 ruser=rinzwind rhost=  user=rinzwind
Oct 23 21:26:02 schijfwereld sudo: rinzwind : 3 incorrect password attempts ; TTY=pts/1 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash

এটি ব্যর্থ প্রচেষ্টা লগ করে এবং মোট 3 টির মতো টাইপ করা পাসওয়ার্ড লগ করে।

প্রয়াসের পাসওয়ার্ড sudoকখনও দেখানো বা সংরক্ষণ করা হয় না।

Comments

পাসওয়ার্ডগুলি কেবলমাত্র লগইন করা হয় সাধারণত আপনি যখন ব্যবহারকারীর নাম পরে প্রবেশ করতে চাপতে ভুলে যান। সুতরাং আপনি পাসওয়ার্ড টাইগারের সাথে ব্যবহারকারীর স্কটের পরিবর্তে "স্কট টাইগার" হিসাবে লগ ইন করেছেন

— লেন 18

তবে এটি

— সুডোর

@ লেন যখন আমার সাথে এটি ঘটে (বা অন্যথায় যখন আমি কমান্ডের পরিবর্তে মনের চিন্তা করে আমার পাসওয়ার্ডটি টাইপ করি না), আমি শেল ইতিহাস থেকে আপত্তিজনক লাইনটি মুছি।

— Zanna

Answer 3

স্বাভাবিক অনুশীলন হ'ল লগইন প্রচেষ্টাতে ব্যবহৃত পাসওয়ার্ডগুলি লগ না করা, এমনকি যদি প্রশ্নে থাকা পাসওয়ার্ডটি অবৈধ ছিল। এটি কেবলমাত্র কারণ একই সিস্টেমের অন্য ব্যবহারকারীর জন্য পাসওয়ার্ডটি বৈধ হতে পারে (যেমন ব্যবহারকারী তাদের ব্যবহারকারীর নাম ভুল করে টাইপ করেছেন, পাসওয়ার্ড নয়), বা প্রকৃত পাসওয়ার্ডের একটি তুচ্ছ বিকল্প হতে পারে (ব্যবহারকারীর কোনও চিঠি বা অন্য কিছু মিস হয়েছে)।

সেগুলির মধ্যে যে কোনও একটি সিস্টেমে একটি সরল পাঠ পাসওয়ার্ড রেখে দেবে, কিছু তথ্য ফাঁসের ঝুঁকির মধ্যে রয়েছে। (পাসওয়ার্ডটি অন্য কোনও সিস্টেমে প্রবেশ করা পাসওয়ার্ডের চেয়েও বৈধ পাসওয়ার্ড হতে পারে, তবে এটি "তাদের" জন্যই "আমাদের" নয়, বরং সমস্যাটি আরও বেশি))

কিছুটা এর সাথে সম্পর্কিত কিছু ক্ষেত্রে যেখানে ব্যবহারকারী তাদের ব্যবহারকারীর নামের জায়গায় তাদের পাসওয়ার্ড লেখেন (উদাহরণস্বরূপ তারা সাধারণত এমন একটি সিস্টেম ব্যবহার করেন যা ব্যবহারকারীর নামটিতে স্বয়ংক্রিয়ভাবে প্রবেশ করে, কিন্তু এখন তা হয়নি, তবে এখনও পাসওয়ার্ডটি প্রথম জিনিস হিসাবে টাইপ করে)। সেক্ষেত্রে লগগুলিতে আপনার একটি সাদামাটা পাসওয়ার্ড থাকবে। এটি সর্বোত্তম নয়, তবে সাধারণ ব্যর্থ লগইন প্রচেষ্টাগুলির জন্য ব্যবহারকারীর নামগুলি দেখা দরকারী এবং এগুলি সংরক্ষণ করার কোনও সহজ সমাধান নেই তবে ব্যবহারকারীর নাম হিসাবে পাসওয়ার্ড প্রবেশ করা যায় না।

---

এটি বলেছিল, পাসওয়ার্ডগুলিতে সিস্টেম লগ করা থেকে প্রশাসকের প্রশাসকের কোনও বাধা নেই। লগিং যুক্ত করা সম্ভবত সম্ভবত একটি কল যুক্ত করে syslog()এবং পিএএম মডিউলটি পুনরায় সংযোগের মাধ্যমে করা যেতে পারে । (উবুন্টু এবং sudoব্যবহারের জন্য প্যাম হ'ল , তবে ওয়েব অ্যাপস এবং অন্য সমস্ত কিছুর ক্ষেত্রেও একই প্রযোজ্য))

---

সুতরাং, না, সাধারণত কোনও প্রশাসক সিস্টেমে প্রবেশ করা পাসওয়ার্ডগুলি দেখতে পাবে না, তবে আপনি বিশ্বাস করেন না এমন কোনও সিস্টেমে আপনি যদি আপনার পাসওয়ার্ডটি প্রবেশ করেন, আপনার কঠোরভাবে বলা উচিত, এটি হারিয়ে যাওয়া বিবেচনা করা উচিত এবং এটি পরিবর্তন করা উচিত।

Answer 4

আরো সাধারণভাবে বলতে, খুব UNIX কয়েক প্রোগ্রাম কি কখনো syslog- র বা অন্যত্র প্রকৃত পাসওয়ার্ড লগ ইন করুন - সেখানে তা করার একটি ভাল কারণ প্রায় না, এবং অবশ্যই ভাল অবস্থায় থাকতে কারণ আছে না হয়।

যেভাবে পাসওয়ার্ডগুলি হ্যাশ হয়, সিস্টেম ভুল পাসওয়ার্ড এবং টাইপোর মধ্যে পার্থক্য বলতে পারে না - যদি আপনার পাসওয়ার্ড% $ zDF + 02G হয় এবং আপনি% $ ZDF + 02G টাইপ করেন তবে এটি আপনাকে ততটা শক্ত করে ফেলবে আপনি যদি 'রাবারবাবিব্যাগবিবার্স' টাইপ করেন তবে ব্যর্থ পাসওয়ার্ড লগ ইন করা লগ পড়ার কারণে দূষিত তৃতীয় পক্ষকে মূল্যবান তথ্য দেবে ।

এক ক্ষেত্রে আমি পেয়েছি যেখানে একটি প্রোগ্রাম করেনি পাসওয়ার্ড লগ ইন করার সামর্থ্য (এবং ব্যবহারের ক্ষেত্রে যেখানে যে একটি ভাল ধারণা হতে চাই) থাকতে ব্যাসার্ধ সার্ভার, হয় যেখানে আপনি উপর এক চিমটি সুইচ মধ্যে করতে পারেন আরো-তথ্য-than- আপনি সম্ভবত-ডিবাগ মোড চেয়েছিলেন এবং তারপরে স্পষ্টতই পতাকাটি যুক্ত করুন যার অর্থ হ্যাঁ, পাসওয়ার্ড সহ 'কারণ আপনি একটি ক্লায়েন্টকে সংযোগ দিতে ব্যর্থ হয়েছেন এবং আপনার একেবারে সম্ভাব্য কারণগুলি বাতিল করতে হবে ...