Câu hỏi này luôn làm tôi băn khoăn.
Trên Linux, khi được hỏi mật khẩu, nếu đầu vào của bạn là chính xác, nó sẽ kiểm tra ngay lập tức, hầu như không có độ trễ. Tuy nhiên, mặt khác, nếu bạn nhập sai mật khẩu, bạn sẽ mất nhiều thời gian hơn để kiểm tra. Tại sao vậy?
Tôi đã quan sát thấy điều này trong tất cả các bản phân phối Linux mà tôi đã từng thử.
Câu trả lời:
Nó thực sự để ngăn chặn các cuộc tấn công vũ phu thử hàng triệu mật khẩu mỗi giây. Ý tưởng là giới hạn tốc độ kiểm tra mật khẩu và có một số quy tắc cần được tuân thủ.
Điều cuối cùng là đặc biệt quan trọng. Nó có nghĩa là không có thông điệp hữu ích như:
Your user name is correct but your password is wrong, please try again
hoặc là:
Sorry, password wasn't long enough
Thậm chí không có sự khác biệt về thời gian trong phản hồi giữa lý do thất bại "người dùng và mật khẩu không hợp lệ" và "người dùng hợp lệ nhưng mật khẩu không hợp lệ".
Mọi thất bại phải cung cấp chính xác cùng một thông tin, dạng văn bản và khác.
Một số hệ thống thậm chí còn làm điều đó xa hơn, làm tăng độ trễ với mỗi lần hỏng hoặc chỉ cho phép ba lần hỏng sau đó có độ trễ lớn trước khi cho phép thử lại.
Điều này làm cho việc đoán mật khẩu mất nhiều thời gian hơn.
Tôi không chắc lắm, nhưng khá phổ biến là tích hợp độ trễ sau khi nhập sai mật khẩu để khiến các cuộc tấn công khó khăn hơn. Điều này làm cho một cuộc tấn công không thể thực hiện được, vì bạn sẽ mất nhiều thời gian để chỉ kiểm tra một vài mật khẩu.
Ngay cả việc thử một vài mật khẩu - ngày sinh, tên của con mèo và những thứ tương tự - cũng chẳng có gì thú vị cả.
123456 có thể chiếm 30% (ví dụ) các tài khoản bị xâm nhập nhưng không có khả năng ở bất kỳ đâu gần mức quan trọng đó trên tất cả các tài khoản.
Về cơ bản để giảm thiểu chống lại các cuộc tấn công vũ phu và từ điển.
Từ Hướng dẫn của Nhà phát triển Ứng dụng Linux-PAM :
Lập kế hoạch cho sự chậm trễ
extern int pam_fail_delay(pam_handle_t *pamh, unsigned int micro_sec);Chức năng này được cung cấp bởi Linux-PAM để tạo điều kiện cho việc trì hoãn thời gian sau một cuộc gọi không thành công tới pam_authenticate () và trước khi quyền điều khiển được trả lại cho ứng dụng. Khi sử dụng chức năng này, người lập trình ứng dụng nên kiểm tra xem nó có khả dụng với,
#ifdef PAM_FAIL_DELAY .... #endif /* PAM_FAIL_DELAY */Nói chung, một ứng dụng yêu cầu người dùng được xác thực bởi Linux-PAM thông qua lệnh gọi tới pam_authenticate () hoặc pam_chauthtok (). Các hàm này gọi từng mô-đun xác thực xếp chồng lên nhau được liệt kê trong tệp cấu hình Linux-PAM có liên quan. Theo chỉ dẫn của tệp này, một trong các mô-đun khác có thể bị lỗi khiến lệnh gọi pam _... () trả về lỗi. Cũng cần tạm dừng trước khi ứng dụng tiếp tục. Lý do chính cho sự chậm trễ như vậy là do bảo mật: sự chậm trễ này chủ yếu ngăn cản các cuộc tấn công từ điển brute force, nhưng cũng giúp cản trở các cuộc tấn công theo thời gian (kênh bí mật).
Đó là một cách rất đơn giản, hầu như không tốn nhiều công sức để tăng cường bảo mật. Xem xét:
Hệ thống Akhông có độ trễ. Kẻ tấn công có một chương trình tạo kết hợp tên người dùng / mật khẩu. Với tốc độ hàng nghìn lần thử mỗi phút, chỉ mất vài giờ để thử mọi kết hợp và ghi lại tất cả các lần đăng nhập thành công.
Hệ thống Btạo ra độ trễ 5 giây sau mỗi lần đoán sai. Hiệu quả của kẻ tấn công đã giảm xuống còn 12 nỗ lực mỗi phút, làm tê liệt một cách hiệu quả cuộc tấn công bạo lực. Thay vì hàng giờ, có thể mất hàng tháng để tìm thông tin đăng nhập hợp lệ. Nếu tin tặc kiên nhẫn như vậy, họ sẽ hợp pháp. :-)
Sự chậm trễ xác thực không thành công có để giảm tỷ lệ đăng nhập. Ý tưởng rằng nếu ai đó đang thử từ điển hoặc một cuộc tấn công bạo lực chống lại một hoặc có thể tài khoản người dùng thì kẻ tấn công sẽ phải đợi sự chậm trễ thất bại và do đó buộc anh ta phải mất nhiều thời gian hơn và cho bạn nhiều cơ hội hơn để phát hiện ra nó.
Bạn cũng có thể muốn biết rằng, tùy thuộc vào những gì bạn đang sử dụng làm trình bao đăng nhập, thường có một cách để định cấu hình độ trễ này.
Trong GDM, độ trễ được đặt trong tệp gdm.conf (thường trong /etc/gdm/gdm.conf). bạn cần đặt RetryDelay = x trong đó x là giá trị tính bằng giây.
Hầu hết các bản phân phối linux ngày nay cũng hỗ trợ việc xác định FAIL_DELAY trong /etc/login.defs cho phép bạn đặt thời gian chờ sau khi đăng nhập không thành công.
Cuối cùng, PAM cũng cho phép bạn đặt thuộc tính gật đầu trên dòng xác thực của mình để bỏ qua độ trễ thất bại. ( Đây là một bài viết về PAM và linux )
Tôi không thấy rằng nó có thể đơn giản như những câu trả lời gợi ý.
Nếu phản hồi cho một mật khẩu đúng là (một số giá trị của) ngay lập tức, không phải bạn chỉ phải đợi lâu hơn giá trị đó để biết mật khẩu là sai? (ít nhất là biết một cách xác suất, điều này tốt cho mục đích bẻ khóa) Và dù sao thì bạn cũng sẽ chạy cuộc tấn công này song song ... đây có phải là tất cả một tấm thảm chào mừng DoS lớn không?
Những gì tôi đã cố gắng trước đây dường như có hiệu quả, nhưng thực tế thì không; nếu bạn quan tâm, bạn phải xem lại lịch sử chỉnh sửa wiki ...
Có gì không làm việc (đối với tôi) là để cả hai làm giảm giá trị của sự chậm trễ pam_faildelay.so = X trong /etc/pam.d/login (Tôi cúi nó để 500000, nửa giây), và cũng có thể thêm nodelay (trước bởi một dấu cách) đến cuối dòng theo phương thức chung , như Gabriel mô tả trong câu trả lời của mình.
auth [success=1 default=ignore] pam_unix.so nullok_secure nodelay
Ít nhất đối với tôi (debian sid), chỉ thực hiện một trong những thay đổi này sẽ không rút ngắn độ trễ đáng kể xuống dưới 3 giây mặc định, mặc dù có thể kéo dài độ trễ bằng cách chỉ thay đổi giá trị trong /etc/pam.d/login.
Cái kiểu tào lao này cũng đủ khiến một người đàn ông trưởng thành phải khóc thét!
Trên Ubuntu 9.10 và tôi nghĩ các phiên bản mới cũng vậy, tệp bạn đang tìm kiếm nằm trên
/etc/pam.d/login
chỉnh sửa dòng:
auth tùy chọn pam_faildelay.so delay = 3000000
thay đổi số 3 bằng một số khác mà bạn có thể muốn.
Lưu ý rằng để có xác thực 'gật đầu', TÔI NGHĨ bạn nên chỉnh sửa tệp
/etc/pam.d/common-auth
quá. Trên đường dây:
auth [thành công = 1 mặc định = bỏ qua] pam_unix.so nullok_secure
thêm 'gật đầu' vào cuối cùng (không có dấu ngoặc kép). Nhưng lời giải thích cuối cùng về 'gật đầu' là những gì tôi nghĩ.
Tôi muốn thêm một lưu ý từ quan điểm của nhà phát triển. Mặc dù điều này sẽ không rõ ràng bằng mắt thường, một nhà phát triển thông minh sẽ thoát ra khỏi truy vấn đối sánh khi tìm thấy kết quả phù hợp. Chứng tỏ, một trận đấu thành công sẽ hoàn thành nhanh hơn một trận đấu thất bại. Bởi vì, hàm đối sánh sẽ so sánh thông tin đăng nhập với tất cả các tài khoản đã biết cho đến khi tìm thấy kết quả khớp chính xác. Nói cách khác, giả sử có 1.000.000 tài khoản người dùng theo thứ tự ID; 001, 002, 003, v.v. ID của bạn là 43.001. Vì vậy, khi bạn nhập đúng tên người dùng và mật khẩu, quá trình quét sẽ dừng lại ở 43.001 và đăng nhập cho bạn. Nếu thông tin đăng nhập của bạn không chính xác thì nó sẽ quét tất cả 1.000.000 bản ghi. Sự khác biệt về thời gian xử lý trên máy chủ lõi kép có thể tính bằng mili giây. Trên Windows Vista với 5 tài khoản người dùng, nó sẽ tính bằng nano giây.
Về mặt kỹ thuật, điều này cố tình trì hoãn này là để ngăn chặn các cuộc tấn công như "Cuộc tấn công tuyến tính hóa" (còn có các cuộc tấn công và lý do khác nữa) .
Để minh họa cuộc tấn công, hãy xem xét một chương trình (không có sự cố ý trì hoãn này), chương trình này sẽ kiểm tra một chuỗi đã nhập để xem liệu nó có khớp với chuỗi chính xác hay không, trong trường hợp này là " xyba " . Để hiệu quả, lập trình viên quyết định kiểm tra từng ký tự một và thoát ra ngay khi phát hiện thấy ký tự không chính xác, trước khi bắt đầu độ dài cũng được kiểm tra.
Độ dài nối tiếp chính xác sẽ mất nhiều thời gian để xử lý hơn độ dài nối tiếp không chính xác. Thậm chí tốt hơn (đối với kẻ tấn công), một số sê-ri có ký tự đầu tiên chính xác sẽ mất nhiều thời gian hơn bất kỳ số nào có ký tự đầu tiên không chính xác. Các bước liên tiếp trong thời gian chờ là do mỗi lần có thêm một vòng lặp, hãy so sánh để thực hiện đúng đầu vào.
- Vì vậy, kẻ tấn công có thể chọn một chuỗi bốn ký tự và chuỗi bắt đầu bằng x sẽ mất nhiều thời gian nhất. (bằng cách đoán công việc)
- Kẻ tấn công sau đó có thể sửa chữa nhân vật là x và thay đổi ký tự thứ hai, trong trường hợp đó họ sẽ thấy rằng y mất nhiều thời gian nhất.
- Kẻ tấn công sau đó có thể sửa hai ký tự đầu tiên là xy và thay đổi ký tự thứ ba, trong trường hợp đó, họ sẽ thấy rằng b mất nhiều thời gian nhất.
- Kẻ tấn công sau đó có thể sửa ba ký tự đầu tiên thành xyb và thay đổi ký tự thứ tư, trong trường hợp đó chúng sẽ thấy rằng một mất nhiều thời gian nhất.
Do đó, những kẻ tấn công có thể khôi phục từng ký tự nối tiếp một.
Tuyến tính hóa.docx, đầu ra mẫu
Số sê-ri dài bốn ký tự, mỗi ký tự có 128 giá trị có thể. Khi đó có 128 4 = 2 28 = 268.435.456 nối tiếp có thể có . Nếu kẻ tấn công phải đoán ngẫu nhiên các số sê-ri đầy đủ, cô ta sẽ đoán số sê-ri trong khoảng 2 27 = 134.217.728 lần thử, đó là một khối lượng công việc khổng lồ . Mặt khác, bằng cách sử dụng cuộc tấn công tuyến tính hóa ở trên, trung bình chỉ cần 128/2 = 64 lần đoán cho mỗi chữ cái, cho tổng công việc dự kiến là khoảng 4 * 64 = 2 8 = 256 lần đoán, đó là một số tiền nhỏ. của công việc.
Phần lớn văn bản võ thuật được chuyển thể từ điều này (trích từ "Bảo mật thông tin: Nguyên tắc và thực hành" của Mark Stamp). Ngoài ra, các tính toán ở trên không tính đến số lượng phỏng đoán cần thiết để tìm ra độ dài nối tiếp chính xác.