Làm thế nào để Linux biết rằng mật khẩu mới tương tự như mật khẩu trước đó?

Một vài lần tôi đã cố gắng thay đổi mật khẩu người dùng trên nhiều máy Linux khác nhau và khi mật khẩu mới giống với mật khẩu cũ, HĐH đã phàn nàn rằng chúng quá giống nhau.

Tôi luôn tự hỏi, làm thế nào để hệ thống biết điều này? Tôi nghĩ rằng mật khẩu được lưu dưới dạng băm. Điều này có nghĩa là khi hệ thống có thể so sánh mật khẩu mới về sự giống nhau thì mật khẩu cũ thực sự được lưu dưới dạng văn bản thuần túy?

Vì bạn cần cung cấp cả mật khẩu cũ và mật khẩu mới khi sử dụng passwd, chúng có thể dễ dàng so sánh trong văn bản gốc, trong bộ nhớ mà không cần ghi chúng ở đâu đó trên ổ đĩa.

Thật vậy, mật khẩu của bạn được băm khi cuối cùng được lưu trữ, nhưng cho đến khi điều đó xảy ra, công cụ nhập mật khẩu của bạn dĩ nhiên có thể truy cập trực tiếp như bất kỳ chương trình nào khác có thể truy cập vào những thứ bạn đã nhập trên bàn phím trong khi nó đang đọc từ STDIN.

Đây là một tính năng của hệ thống PAM được sử dụng trong nền của passwdcông cụ. PAM được sử dụng bởi các bản phân phối Linux hiện đại.

Cụ thể hơn, pam_crackliblà một mô-đun cho PAM cho phép từ chối mật khẩu dựa trên một số điểm yếu sẽ khiến chúng rất dễ bị tổn thương.

Nó không chỉ là mật khẩu quá giống nhau mà có thể được coi là không an toàn. Các mã nguồn có các ví dụ khác nhau về những gì có thể được kiểm tra, ví dụ như xem một mật khẩu là một palindrome hoặc những gì các chỉnh sửa khoảng cách giữa hai từ. Ý tưởng là làm cho mật khẩu chống lại các cuộc tấn công từ điển.

Xem thêm các pam_cracklibmanpage.

Ít nhất là trong Ubuntu của tôi, các thông báo "quá giống nhau" đã xuất hiện khi: "... hơn một nửa số ký tự là khác nhau ...." (xem bên dưới để biết chi tiết). nhờ hỗ trợ PAM, như được giải thích rõ ràng trong câu trả lời @slhck.

Đối với nền tảng khác, nơi PAM không được sử dụng, các thông báo "quá giống nhau" xuất hiện khi: "... hơn một nửa số ký tự là khác nhau ...." (xem bên dưới để biết chi tiết)

Để tự mình kiểm tra tuyên bố này, bạn có thể kiểm tra mã nguồn. Đây là cách làm.

Chương trình "passwd" được bao gồm trong gói passwd:

verzulli@iMac:~$ which passwd
/usr/bin/passwd
verzulli@iMac:~$ dpkg -S /usr/bin/passwd
passwd: /usr/bin/passwd

Khi chúng tôi đang xử lý các công nghệ Nguồn mở, chúng tôi có quyền truy cập không hạn chế vào mã nguồn. Bắt nó đơn giản như:

verzulli@iMac:/usr/local/src/passwd$ apt-get source passwd

Sau đó, thật dễ dàng để tìm thấy đoạn mã có liên quan:

verzulli@iMac:/usr/local/src/passwd$ grep -i -r 'too similar' .
[...]
./shadow-4.1.5.1/NEWS:- new password is not "too similar" if it is long enough
./shadow-4.1.5.1/libmisc/obscure.c:     msg = _("too similar");

Một kiểm tra nhanh để "obscure.c" đưa ra điều này (Tôi chỉ cắt và dán đoạn mã có liên quan):

static const char *password_check (
    const char *old,
    const char *new,
    const struct passwd *pwdp)
{
    const char *msg = NULL;
    char *oldmono, *newmono, *wrapped;

    if (strcmp (new, old) == 0) {
            return _("no change");
    }
    [...]
    if (palindrome (oldmono, newmono)) {
            msg = _("a palindrome");
    } else if (strcmp (oldmono, newmono) == 0) {
            msg = _("case changes only");
    } else if (similar (oldmono, newmono)) {
            msg = _("too similar");
    } else if (simple (old, new)) {
            msg = _("too simple");
    } else if (strstr (wrapped, newmono) != NULL) {
            msg = _("rotated");
    } else {
    }
    [...]
    return msg;
}

Vì vậy, bây giờ, chúng ta biết rằng có một chức năng "tương tự" dựa trên kiểm tra cái cũ và cái mới nếu cả hai đều giống nhau. Đây là đoạn trích:

/*
 * more than half of the characters are different ones.
 */
static bool similar (const char *old, const char *new)
{
    int i, j;

    /*
     * XXX - sometimes this fails when changing from a simple password
     * to a really long one (MD5).  For now, I just return success if
     * the new password is long enough.  Please feel free to suggest
     * something better...  --marekm
     */
    if (strlen (new) >= 8) {
            return false;
    }

    for (i = j = 0; ('\0' != new[i]) && ('\0' != old[i]); i++) {
            if (strchr (new, old[i]) != NULL) {
                    j++;
            }
    }

    if (i >= j * 2) {
            return false;
    }

    return true;
}

Tôi chưa xem lại mã C. Tôi giới hạn bản thân trong việc tin tưởng nhận xét ngay trước khi định nghĩa hàm :-)

Sự khác biệt giữa các nền tảng nhận biết PAM và NON-PAM được xác định trong tệp "obscure.c" có cấu trúc như sau:

#include <config.h>
#ifndef USE_PAM
[...lots of things, including all the above...]
#else                           /* !USE_PAM */
extern int errno;               /* warning: ANSI C forbids an empty source file */
#endif                          /* !USE_PAM */

Câu trả lời đơn giản hơn nhiều so với bạn nghĩ. Trên thực tế, nó gần như đủ điều kiện là ma thuật, bởi vì một khi bạn giải thích mánh khóe, nó đã biến mất:

$ passwd
Current Password:
New Password:
Repeat New Password:

Password changed successfully

Nó biết mật khẩu mới của bạn tương tự ... Bởi vì bạn đã gõ mật khẩu cũ chỉ trong giây lát.

Mặc dù các câu trả lời khác là đúng, nhưng có thể đáng để đề cập rằng bạn không cần cung cấp mật khẩu cũ để làm việc này!

Trong thực tế, người ta có thể tạo ra một loạt mật khẩu tương tự như mật khẩu mới mà bạn đã cung cấp, băm chúng, sau đó kiểm tra xem có bất kỳ băm nào phù hợp với mật khẩu cũ không. Nếu đây là trường hợp, thì mật khẩu mới được đánh giá tương tự như mật khẩu cũ! :)

Một khía cạnh không được đề cập: lịch sử mật khẩu. Một số hệ thống hỗ trợ này. Để làm điều đó, nó giữ một lịch sử mật khẩu và mã hóa chúng bằng mật khẩu hiện tại. Khi bạn thay đổi mật khẩu, nó sẽ sử dụng mật khẩu "cũ" để giải mã danh sách và xác minh. Và khi nó đặt mật khẩu mới, nó sẽ lưu danh sách (một lần nữa) được mã hóa bằng một khóa có nguồn gốc từ mật khẩu mới.

Đây là cách làm remember=Nviệc trong PAM (được lưu trữ trong /etc/security/opasswd). Nhưng Windows và các nhà cung cấp Unix khác cũng cung cấp các chức năng tương tự.