ভুল পাসওয়ার্ড দেওয়ার পরে কেন বড় দেরি হচ্ছে?


89

আমি পাসওয়ার্ড সম্পর্কে একটি অদ্ভুত (ভাল, আমার মতে) জিনিস লক্ষ্য করি। উদাহরণস্বরূপ, আমি লগইন করার সময় যদি কোনও ভুল পাসওয়ার্ড টাইপ করি তবে সিস্টেম আমাকে তা বলার আগে কয়েক সেকেন্ডের বিলম্ব হবে। আমি যখন sudoকোনও ভুল পাসওয়ার্ড দিয়ে চেষ্টা করি তখন শেলটি "দুঃখিত, আবার চেষ্টা করুন" বলার আগে আমাকেও অপেক্ষা করতে হবে।

আমি ভাবছি কেন একটি ভুল পাসওয়ার্ড "সনাক্ত" করতে এত সময় লাগে? এটি আমি ব্যবহার করি এমন কয়েকটি বিতরণে (এবং এমনকি ওএসএক্স) দেখা গেছে, তাই আমি মনে করি এটি কোনও বিতরণ নির্দিষ্ট জিনিস নয়।


আমি এটি কেবলমাত্র টার্মিনালেই নয়, শুরু করার পরে বা ল্যাপটপটি স্লিপ মোডে থাকা অবস্থায় প্রাথমিক সেশন লগিনেও লক্ষ্য করেছি। ডান পাসওয়ার্ড আনলক করা তাত্ক্ষণিক হলেও উত্থাপিত এই প্রশ্নগুলি দেখে খুশি :)
ক্রোজাইন

উত্তর:


92

এটি একটি সুরক্ষা বিষয়, এটি উপলব্ধি করতে আসলে এটি বেশি সময় নেয় না। 2 দুর্বলতাগুলি এর সমাধান করে:

  1. এই থ্রোটলসগুলি লগইন করার প্রচেষ্টা করে, যার অর্থ সিস্টেমটি যত তাড়াতাড়ি ক্র্যাক করার চেষ্টা করতে পারে তত দ্রুত পাউন্ড করতে পারে না (1 এম এক সেকেন্ড চেষ্টা করে? আমি জানি না)।

  2. এটি যদি আপনার শংসাপত্রগুলি ভুল যাচাই করার সাথে সাথে তা করে ফেলেছে তবে আপনার শংসাপত্রগুলির অংশটি সঠিক ছিল কিনা অনুমান করতে সহায়তা করার জন্য অনুমান করার সময়কে নাটকীয়ভাবে হ্রাস করতে আপনি আপনার শংসাপত্রগুলি অকার্যকর করতে যে পরিমাণ সময় নিয়েছিলেন তা ব্যবহার করতে পারেন।

এই 2 টি জিনিসটি প্রতিরোধ করতে সিস্টেম এটি করতে নির্দিষ্ট সময় সময় নেয়, আমি মনে করি আপনি পিএএম এর সাথে অপেক্ষা করার সময়টি কনফিগার করতে পারেন ( মাইকেলগুলির উত্তর দেখুন )।

সিকিউরিটি ইঞ্জিনিয়ারিং (2 এড, অ্যামাজন | 1 এড, ফ্রি ) এই সমস্যাগুলির আরও ভাল ব্যাখ্যা দেয়।


4
// অফটপিক জি এটি কোনও বাগ নয়, এটির একটি বৈশিষ্ট্য ;-)
ইকক্স

2
আপনার অনুমোদিত লিঙ্কটি স্বয়ংক্রিয়ভাবে এসই, বিটিডব্লিউতে পুনরায় লেখা হয়েছিল।
জেল্যাটিন

1
@ শেপাপাং: দ্বিতীয় অধ্যায়টি দেখুন , বিশেষ করে §2.4 এবং .52.5.3.3।
গিলস

4
পাসওয়ার্ড হ্যাশ তুলনা করার সময় প্রথম এবং দেরী ব্যর্থতার মধ্যে পার্থক্য ন্যানোসেকেন্ডে পরিমাপ করা হয়। যথাযথ কোডিং (ধ্রুবক সময় মেমরি তুলনা) সঙ্গে মোটেই কোনও পার্থক্য নেই। দেরি করার জন্য এটি কোনও যুক্তিযুক্ত নয়।
কোডসইনচাওস 23:13

2
আমি কোডসইনচওসের সাথে একমত: উত্তরের দ্বিতীয় পয়েন্টটি ভুল। আসলে যা ঘটছে তা নিম্নলিখিত: 1 আপনার ইনপুটটির একটি হ্যাশ গণনা করা হয়; ২. সেই হ্যাশটিকে সঞ্চিত হ্যাশের সাথে তুলনা করা হয় (এর প্রতিটি বাইট, এমনকি যদি কোনও পার্থক্য ইতিমধ্যে পাওয়া গিয়েছিল); লক্ষ্য করুন, আপনার প্রবেশ করা পাসওয়ার্ডটি সঠিক ছিল কিনা তার উপর নির্ভর করে এই দুটি পদক্ষেপ কোনওভাবেই দ্রুত বা ধীর নয়। (এবং অন্যেরা ইতিমধ্যে উল্লেখ করেছেন যে, ঘুমের সময়কাল যোগ করা যদি সম্ভব হয় তবে কোনও সময় আক্রমণকে ঠিক করতে পারে না)
উদাহরণস্বরূপ

41

এটি উদ্দেশ্যমূলক, চেষ্টা এবং জোর জোর সীমাবদ্ধ করার জন্য। আপনি সাধারণত FAIL_DELAYকনফিগারেশন এন্ট্রিটি সন্ধান করে /etc/login.defsএবং এর মানটি পরিবর্তন করে এটি পরিবর্তন করতে পারেন (খনিটি 3ডিফল্ট অনুসারে কয়েক সেকেন্ড), যদিও এই ফাইলটিতে দেওয়া মন্তব্য এটির মতো শব্দ করে তোলে যা পাম কমপক্ষে একটি 2দ্বিতীয় বিলম্বকে কার্যকর করে দেয় তা যাই হোক না কেন


9
এটি কেবল নিষ্ঠুরতার চেয়ে বেশি চাপ দেওয়া রোধ করা। এটি কোথায় কনফিগার করতে হবে তা জানার জন্য বোনাস পয়েন্ট।
xenoterracide

5
আমি মনে করি যে ব্যর্থ_ডেলাও এতে কনফিগারযোগ্য /etc/pam.d/login। সন্ধান করুনpam_faildelay.so delay=
স্টিভেন ডি

8
কোনও বার যদি প্রয়াস কাজ না করে বলে সুডোর জন্য একটি মোড়ক লিখতে বাধা দেয় যা একটি নতুন সুডো উদাহরণ শুরু করে, বলুন, 0.1 সেকেন্ড?
জানুস ট্রয়লসেন

11

আধুনিক লিনাক্স সিস্টেমে কারণটি হ'ল পাম_উনিক্স.সো এই জাতীয় বিলম্ব চাপিয়েছেন। পূর্বে হিসাবে রিপোর্ট, এই পরিবর্তন করে দুই সেকেন্ড নিচে কনফিগার করা যাবে FAIL_DELAYমধ্যে /etc/login.defs। আপনি যদি আরও বিলম্ব হ্রাস করতে চান তবে আপনাকে পাম_উনিক্স দিতে হবে so "নোডলে" বিকল্পটি। উদাহরণস্বরূপ, আমার সিস্টেমে, আপনি যদি এর থেকে শুরু করে অন্তর্ভুক্তগুলি সন্ধান করেন তবে আপনাকে /etc/pam.d/sudoনীচের লাইনটি সম্পাদনা করতে হবে /etc/pam.d/system-auth:

auth      required  pam_unix.so     try_first_pass nullok

এবং এটিতে এটি পরিবর্তন করুন:

auth      required  pam_unix.so     try_first_pass nullok nodelay

দুর্ভাগ্যক্রমে, আমার লিনাক্স ডিস্ট্রো (খিলান) জিনিসগুলি যেভাবে কনফিগার করে, সেই একই system-authফাইলটি system-remote-loginএসএসডি দ্বারা ব্যবহৃত হয় included

যদিও এটি sudo- তে বিলম্ব নির্মূল করা নিরাপদ, কারণ এটি লগড, কেবলমাত্র স্থানীয় ব্যবহারকারীরা ব্যবহার করেন এবং স্থানীয় আক্রমণকারীরা বাইপাসেবল যাইহোক, আপনি সম্ভবত দূরবর্তী লগইনগুলির জন্য এই বিলম্বটি সরাতে চান না। আপনি অবশ্যই কোনও কাস্টম সুডো লিখে এটি ঠিক করতে পারেন যা কেবল ভাগ করা সিস্টেম-অথথ ফাইলগুলিকে অন্তর্ভুক্ত করে না।

ব্যক্তিগতভাবে, আমি মনে করি sudo (এবং সাইন ইন উপেক্ষা) এ বিলম্ব একটি বড় ভুল। এর অর্থ ব্যবহারকারীরা জানেন যে তারা পাসওয়ার্ডটি ভুল লিখেছেন তারা প্রক্রিয়াটি হারাতে পারে না এবং হতাশ হতে পারে না। অবশ্যই, আপনি এখনও সিটিআরএল-জেডের সাথে সুডো থামাতে পারেন, কারণ সুডো সিগস্টটিপটি ধরে না এবং এটি বন্ধ করার পরে আপনি এটি কিল -9 (সিগাইল) দিয়ে হত্যা করতে পারবেন। এটা করতে বিরক্তিকর। সুতরাং এর অর্থ একটি স্বয়ংক্রিয় আক্রমণ সুডোকে সিউডো-টার্মিনালগুলিতে অতি উচ্চ হারে আগুন ধরিয়ে দিতে পারে। তবে বিলম্ব বৈধ ব্যবহারকারীদের হতাশ করে এবং তাদের পুনরায় শোধ করতে না পেরে তাদের রুট শেলগুলি স্থগিত করার জন্য উত্সাহ দেয়।


1
ফেডোরার সাথে একই। অসাধারণ বিশ্লেষণ
ফ্রিডম_বেন

উজ্জ্বল উত্তর। আমি এও ভাবছিলাম যে FAIL_DELAY আধুনিক ডেস্কটপ সিস্টেমে অপ্রচলিত হয়ে উঠেছে। আপনার পার্টিশন / হার্ড ড্রাইভ এনক্রিপশন এবং অন্য কিছুর উপর নির্ভর করা উচিত। সাধারণত, এমন কোনও দ্বিতীয় ব্যবহারকারী নেই যিনি রুট পাসওয়ার্ড জোর করে চেষ্টা করতে পারেন। তবে , সম্ভাব্য দূষিত প্রোগ্রামগুলি একটি असुरक्षित FAIL_DELAY এর অপব্যবহার করতে পারে এবং এর ফলে রুট অ্যাক্সেস পেতে পারে।
ফিল্ড 294

পাম-ইউনিক্স nodelayসেট করার ফলে ওয়েটের সময়টি 0 এ সেট করা হবে এবং FAIL_DELAY এর পরে তা উপেক্ষা করা হবে।
ফিলি 294

কেন দেরি অক্ষম করবেন না এবং তারপরে রিমোট পাসওয়ার্ড লগইন অক্ষম করবেন (কেবলমাত্র এসএসএইচ)? সুরক্ষা দুর্বলতার পরিচয় না দিয়েই কি সমস্যার সমাধান হচ্ছে না?
রেডন রোজবরো
আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.