Diese Frage hat mich immer beunruhigt.
Wenn Sie unter Linux nach einem Kennwort gefragt werden und Ihre Eingabe korrekt ist, wird sie sofort und ohne Verzögerung überprüft. Wenn Sie jedoch das falsche Passwort eingeben, dauert die Überprüfung länger. Warum ist das so?
Ich habe dies bei allen Linux-Distributionen beobachtet, die ich jemals ausprobiert habe.
Antworten:
Es soll verhindern, dass Brute-Force-Angriffe Millionen von Passwörtern pro Sekunde versuchen. Die Idee ist zu begrenzen, wie schnell Passwörter überprüft werden können, und es gibt eine Reihe von Regeln, die befolgt werden sollten.
Letzteres ist besonders wichtig. Es bedeutet keine hilfreichen Nachrichten wie:
Your user name is correct but your password is wrong, please try again
oder:
Sorry, password wasn't long enough
Nicht einmal ein Zeitunterschied in der Antwort zwischen den Fehlergründen "ungültiger Benutzer und Passwort" und "gültiger Benutzer, aber ungültiges Passwort".
Jeder Fehler sollte genau die gleichen Informationen liefern, sowohl in Textform als auch auf andere Weise.
Einige Systeme gehen sogar noch weiter und erhöhen die Verzögerung mit jedem Fehler oder lassen nur drei Fehler zu, wobei eine massive Verzögerung auftritt, bevor ein erneuter Versuch zugelassen wird.
Dadurch dauert es länger, Passwörter zu erraten.
Ich bin mir nicht sicher, aber es ist durchaus üblich, nach Eingabe eines falschen Passworts eine Verzögerung zu integrieren, um Angriffe zu erschweren. Dies macht einen Angriff praktisch unmöglich, da Sie lange brauchen, um nur wenige Passwörter zu überprüfen.
Selbst das Ausprobieren einiger Passwörter - Geburtsdaten, Name der Katze und ähnliches - macht keinen Spaß.
123456könnte durchaus 30% (zum Beispiel) der kompromittierten Konten ausmachen, ist jedoch auf allen Konten wahrscheinlich nicht annähernd so bedeutend .
Grundsätzlich gegen Brute-Force- und Wörterbuchangriffe.
Aus dem Entwicklerhandbuch für Linux-PAM-Anwendungen :
Planen von Verzögerungen
extern int pam_fail_delay(pam_handle_t *pamh, unsigned int micro_sec);Diese Funktion wird von Linux-PAM angeboten, um Zeitverzögerungen nach einem fehlgeschlagenen Aufruf von pam_authenticate () und vor der Rückgabe der Steuerung an die Anwendung zu erleichtern. Bei Verwendung dieser Funktion sollte der Anwendungsprogrammierer prüfen, ob sie verfügbar ist mit:
#ifdef PAM_FAIL_DELAY .... #endif /* PAM_FAIL_DELAY */Im Allgemeinen fordert eine Anwendung an, dass ein Benutzer durch Linux-PAM durch einen Aufruf von pam_authenticate () oder pam_chauthtok () authentifiziert wird. Diese Funktionen rufen jedes der gestapelten Authentifizierungsmodule auf, die in der entsprechenden Linux-PAM-Konfigurationsdatei aufgeführt sind. Gemäß den Anweisungen in dieser Datei kann eines der Module fehlschlagen, wodurch der Aufruf von pam _... () einen Fehler zurückgibt. Es ist wünschenswert, dass auch eine Pause eingelegt wird, bevor die Anwendung fortgesetzt wird. Der Hauptgrund für eine solche Verzögerung ist die Sicherheit: Eine Verzögerung verhindert in erster Linie Brute-Force-Wörterbuchangriffe, hilft aber auch, zeitgesteuerte Angriffe (verdeckte Kanäle) zu verhindern.
Es ist eine sehr einfache und praktisch mühelose Möglichkeit, die Sicherheit erheblich zu erhöhen. Erwägen:
Das System Ahat keine Verzögerung. Ein Angreifer hat ein Programm, das Kombinationen aus Benutzername und Passwort erstellt. Bei einer Rate von Tausenden von Versuchen pro Minute dauert es nur wenige Stunden, um jede Kombination auszuprobieren und alle erfolgreichen Anmeldungen aufzuzeichnen.
Das System Bgeneriert nach jeder falschen Vermutung eine Verzögerung von 5 Sekunden. Die Effizienz des Angreifers wurde auf 12 Versuche pro Minute reduziert, was den Brute-Force-Angriff effektiv lähmt. Anstelle von Stunden kann es Monate dauern, bis ein gültiges Login gefunden ist. Wenn Hacker so geduldig wären, würden sie legitim werden. :-)
Fehlgeschlagene Authentifizierungsverzögerungen verringern die Anmelderate. Die Idee, dass, wenn jemand ein Wörterbuch oder einen Brute-Force-Angriff gegen einen oder mehrere Benutzerkonten versucht, dieser Angreifer auf die Fehlerverzögerung warten muss, um ihn zu zwingen, sich mehr Zeit zu nehmen und Ihnen mehr Chance zu geben, sie zu erkennen.
Möglicherweise möchten Sie auch wissen, dass es je nach Verwendung als Anmeldeshell normalerweise eine Möglichkeit gibt, diese Verzögerung zu konfigurieren.
In GDM wird die Verzögerung in der Datei gdm.conf festgelegt (normalerweise in /etc/gdm/gdm.conf). Sie müssen RetryDelay = x setzen, wobei x ein Wert in Sekunden ist.
Die meisten Linux-Distributionen unterstützen heutzutage auch die Definition von FAIL_DELAY in /etc/login.defs, sodass Sie nach einem fehlgeschlagenen Anmeldeversuch eine Wartezeit festlegen können.
Schließlich können Sie mit PAM auch ein Nodelay-Attribut in Ihrer Authentifizierungsleitung festlegen, um die Fehlerverzögerung zu umgehen. ( Hier ist ein Artikel über PAM und Linux )
Ich sehe nicht, dass es so einfach sein kann, wie die Antworten vermuten lassen.
Wenn die Antwort auf ein korrektes Passwort sofort erfolgt (ein Wert von), müssen Sie dann nicht nur bis zu diesem Wert warten, um zu wissen, dass das Passwort falsch ist? (Zumindest wahrscheinlich, was für Cracking-Zwecke in Ordnung ist) Und trotzdem würden Sie diesen Angriff parallel ausführen ... ist das alles eine große DoS-Begrüßungsmatte?
Was ich vorher versucht habe, schien zu funktionieren, tat es aber tatsächlich nicht; Wenn es dich interessiert, musst du den Wiki-Bearbeitungsverlauf überprüfen ...
Was tut der Arbeit (für mich) ist, um sowohl den Wert der pam_faildelay.so Verzögerung zu senken = X in /etc/pam.d/login (ich es 500000 gesenkt, eine halbe Sekunde), und auch nodelay hinzufügen (durch ein voran Leerzeichen) bis zum Ende der Zeile in Common-Auth , wie von Gabriel in seiner Antwort beschrieben.
auth [success=1 default=ignore] pam_unix.so nullok_secure nodelay
Zumindest für mich (debian sid) verkürzt nur eine dieser Änderungen die Verzögerung nicht wesentlich unter die Standard-3 Sekunden, obwohl es möglich ist, die Verzögerung zu verlängern, indem nur der Wert in /etc/pam.d/login geändert wird.
Diese Art von Mist ist genug, um einen erwachsenen Mann zum Weinen zu bringen!
Unter Ubuntu 9.10 und meiner Meinung nach auch neuen Versionen befindet sich die gesuchte Datei in
/etc/pam.d/login
Bearbeiten Sie die Zeile:
auth optional pam_faildelay.so delay = 3000000
Ändern Sie die Nummer 3 durch eine andere, die Sie möchten.
Beachten Sie, dass Sie die Datei bearbeiten sollten, um eine "Nodelay" -Authentifizierung zu erhalten
/etc/pam.d/common-auth
auch. An der Leitung:
auth [Erfolg = 1 Standard = ignorieren] pam_unix.so nullok_secure
füge 'nodelay' zum Finale hinzu (ohne Anführungszeichen). Aber diese letzte Erklärung über das "Nodelay" ist, was ich denke.
Ich möchte eine Notiz aus Entwicklersicht hinzufügen. Obwohl dies mit bloßem Auge nicht offensichtlich wäre, würde ein intelligenter Entwickler aus einer Übereinstimmungsabfrage ausbrechen, wenn die Übereinstimmung gefunden wird. Im Zeugnis würde ein erfolgreiches Match schneller abgeschlossen werden als ein fehlgeschlagenes Match. Denn die Übereinstimmungsfunktion vergleicht die Anmeldeinformationen mit allen bekannten Konten, bis die richtige Übereinstimmung gefunden wird. Mit anderen Worten, es gibt 1.000.000 Benutzerkonten, die nach IDs sortiert sind. 001, 002, 003 und so weiter. Ihre ID ist 43.001. Wenn Sie also einen korrekten Benutzernamen und ein korrektes Kennwort eingeben, stoppt der Scan bei 43.001 und meldet Sie an. Wenn Ihre Anmeldeinformationen falsch sind, werden alle 1.000.000 Datensätze gescannt. Der Unterschied in der Verarbeitungszeit auf einem Dual-Core-Server kann in Millisekunden liegen. Unter Windows Vista mit 5 Benutzerkonten würde dies in Nanosekunden erfolgen.
Technisch gesehen dient diese absichtliche Verzögerung dazu, Angriffe wie den "Linearisierungsangriff" zu verhindern (es gibt auch andere Angriffe und Gründe) .
Betrachten Sie zur Veranschaulichung des Angriffs ein Programm (ohne diese absichtliche Verzögerung), das eine eingegebene Seriennummer überprüft, um festzustellen, ob sie mit der richtigen Seriennummer übereinstimmt, in diesem Fall " xyba " . Aus Gründen der Effizienz hat der Programmierer beschlossen, jeweils ein Zeichen zu überprüfen und zu beenden, sobald ein falsches Zeichen gefunden wird. Vor Beginn werden auch die Längen überprüft.
Die Verarbeitung der richtigen Serienlänge dauert länger als eine falsche Serienlänge. Noch besser (für Angreifer) ist, dass eine Seriennummer mit dem ersten korrekten Zeichen länger dauert als jede mit einem falschen ersten Zeichen. Die aufeinanderfolgenden Schritte in der Wartezeit sind, weil jedes Mal, wenn es eine weitere Schleife gibt, ein Vergleich durchgeführt wird, um die korrekte Eingabe durchzuführen.
- Der Angreifer kann also eine vierstellige Zeichenfolge auswählen , wobei die mit x beginnende Zeichenfolge die meiste Zeit in Anspruch nimmt. (durch Vermutungsarbeit)
- Der Angreifer kann dann das Zeichen als x festlegen und das zweite Zeichen variieren. In diesem Fall wird festgestellt , dass y am längsten dauert.
- Der Angreifer kann dann die ersten beiden Zeichen als xy festlegen und das dritte Zeichen variieren. In diesem Fall wird festgestellt , dass b am längsten dauert.
- Der Angreifer kann dann die ersten drei Zeichen als xyb festlegen und das vierte Zeichen variieren. In diesem Fall wird festgestellt , dass a am längsten dauert.
Daher können die Angreifer die Serienzeichen einzeln wiederherstellen.
Linearization.docx, Beispielausgabe
Die Seriennummer ist vier Zeichen lang und jedes Zeichen hat 128 mögliche Werte. Dann gibt es 128 4 = 2 28 = 268.435.456 mögliche Serien . Wenn der Angreifer zufällig vollständige Seriennummern erraten muss, würde er die Seriennummer in etwa 2 27 = 134.217.728 Versuchen erraten , was eine enorme Menge an Arbeit darstellt . Andererseits sind unter Verwendung des obigen Linearisierungsangriffs durchschnittlich nur 128/2 = 64 Vermutungen für jeden Buchstaben erforderlich, für eine erwartete Gesamtarbeit von ungefähr 4 · 64 = 2 8 = 256 Vermutungen, was eine triviale Menge ist der Arbeit.
Ein großer Teil der schriftlichen Kampf aus angepasst dies (aus Mark Stamp des „Informationssicherheit: Principles and Practice“). Die oben genannten Berechnungen berücksichtigen auch nicht die Menge an Vermutungen, die erforderlich sind, um die korrekte Serienlänge herauszufinden.