Skąd Linux wie, że nowe hasło jest podobne do poprzedniego?

Kilka razy próbowałem zmienić hasło użytkownika na różnych komputerach z systemem Linux, a gdy nowe hasło było podobne do starego, system operacyjny narzekał, że są one zbyt podobne.

Zawsze zastanawiałem się, skąd system to wie? Myślałem, że hasło jest zapisane jako skrót. Czy to oznacza, że ​​kiedy system jest w stanie porównać nowe hasło podobieństwa, stare jest faktycznie zapisywane jako zwykły tekst?

Ponieważ podczas używania musisz podać zarówno stare, jak i nowe hasło passwd, można je łatwo porównać w postaci zwykłego tekstu, w pamięci, bez zapisywania ich gdzieś na dysku.

Rzeczywiście, twoje hasło jest zakodowane, kiedy w końcu jest przechowywane, ale dopóki tak się nie stanie, narzędzie, w którym wpisujesz hasło, może oczywiście po prostu uzyskać do niego bezpośredni dostęp, tak jak każdy inny program może uzyskać dostęp do rzeczy, które wprowadziłeś na klawiaturze podczas odczytu ze STDIN.

Jest to cecha systemu PAM, który jest wykorzystywany w tle passwdnarzędzia. PAM jest używany przez współczesne dystrybucje Linuksa.

Mówiąc dokładniej, pam_cracklibjest to moduł dla PAM, który pozwala na odrzucanie haseł na podstawie kilku słabości, które czyniłyby je bardzo podatnymi na atak.

Nie tylko hasła, które są zbyt podobne, można uznać za niepewne. Kod źródłowy ma różne przykłady tego, co można sprawdzić, na przykład, czy hasło jest palindrom lub jaka jest odległość między dwoma edycja słów. Chodzi o to, aby hasła były bardziej odporne na ataki słownikowe.

Zobacz także stronę pam_cracklibpodręcznika.

Przynajmniej w moim Ubuntu wychodzą „zbyt podobne” wiadomości kiedy: „... więcej niż połowa znaków to różne…” (szczegóły poniżej). dzięki wsparciu PAM, jak jasno wyjaśniono w odpowiedzi @slhck.

Na innej platformie, na której nie jest używany PAM, pojawiają się komunikaty „zbyt podobne”, gdy: „... więcej niż połowa znaków to różne ...” (szczegóły poniżej)

Aby dalej samodzielnie sprawdzić to oświadczenie, można sprawdzić kod źródłowy. Oto jak.

Program „passwd” znajduje się w pakiecie passwd:

verzulli@iMac:~$ which passwd
/usr/bin/passwd
verzulli@iMac:~$ dpkg -S /usr/bin/passwd
passwd: /usr/bin/passwd

Ponieważ mamy do czynienia z technologiami Open Source, mamy nieograniczony dostęp do kodu źródłowego. Uzyskanie jest tak proste, jak:

verzulli@iMac:/usr/local/src/passwd$ apt-get source passwd

Następnie łatwo jest znaleźć odpowiedni fragment kodu:

verzulli@iMac:/usr/local/src/passwd$ grep -i -r 'too similar' .
[...]
./shadow-4.1.5.1/NEWS:- new password is not "too similar" if it is long enough
./shadow-4.1.5.1/libmisc/obscure.c:     msg = _("too similar");

Szybka kontrola do „obscure.c” daje to (wycinam i wklejam tylko odpowiedni fragment kodu):

static const char *password_check (
    const char *old,
    const char *new,
    const struct passwd *pwdp)
{
    const char *msg = NULL;
    char *oldmono, *newmono, *wrapped;

    if (strcmp (new, old) == 0) {
            return _("no change");
    }
    [...]
    if (palindrome (oldmono, newmono)) {
            msg = _("a palindrome");
    } else if (strcmp (oldmono, newmono) == 0) {
            msg = _("case changes only");
    } else if (similar (oldmono, newmono)) {
            msg = _("too similar");
    } else if (simple (old, new)) {
            msg = _("too simple");
    } else if (strstr (wrapped, newmono) != NULL) {
            msg = _("rotated");
    } else {
    }
    [...]
    return msg;
}

Teraz wiemy, że istnieje „podobna” funkcja, która w oparciu o starą i nową sprawdza, czy oba są podobne. Oto fragment:

/*
 * more than half of the characters are different ones.
 */
static bool similar (const char *old, const char *new)
{
    int i, j;

    /*
     * XXX - sometimes this fails when changing from a simple password
     * to a really long one (MD5).  For now, I just return success if
     * the new password is long enough.  Please feel free to suggest
     * something better...  --marekm
     */
    if (strlen (new) >= 8) {
            return false;
    }

    for (i = j = 0; ('\0' != new[i]) && ('\0' != old[i]); i++) {
            if (strchr (new, old[i]) != NULL) {
                    j++;
            }
    }

    if (i >= j * 2) {
            return false;
    }

    return true;
}

Nie sprawdziłem kodu C. Ograniczałem się do zaufania komentarzowi tuż przed definicją funkcji :-)

Różnice między platformami PAM i NON-PAM są zdefiniowane w pliku „obscure.c”, który ma następującą strukturę:

#include <config.h>
#ifndef USE_PAM
[...lots of things, including all the above...]
#else                           /* !USE_PAM */
extern int errno;               /* warning: ANSI C forbids an empty source file */
#endif                          /* !USE_PAM */

Odpowiedź jest o wiele prostsza niż myślisz. W rzeczywistości prawie kwalifikuje się jako magia, ponieważ kiedy wyjaśnisz sztuczkę, zniknie:

$ passwd
Current Password:
New Password:
Repeat New Password:

Password changed successfully

Wie, że twoje nowe hasło jest podobne ... Ponieważ stary wpisałeś już przed chwilą.

Chociaż pozostałe odpowiedzi są prawidłowe, warto wspomnieć, że nie trzeba podawać starego hasła, aby to zadziałało!

W rzeczywistości można wygenerować kilka haseł podobnych do nowego hasła, które podałeś, haszować je, a następnie sprawdzić, czy któryś z tych skrótów pasuje do starego. W takim przypadku nowe hasło zostanie uznane za podobne do starego! :)

Nie uwzględniono jednego aspektu: historii haseł. Niektóre systemy to obsługują. W tym celu przechowuje historię haseł i szyfruje je przy użyciu bieżącego hasła. Po zmianie hasła używane jest „stare” hasło do odszyfrowania listy i weryfikacji. A kiedy ustawia nowe hasło, zapisuje listę (ponownie) zaszyfrowaną kluczem pochodzącym z nowego hasła.

Tak remember=Ndziała PAM (przechowywane w /etc/security/opasswd). Ale także Windows i inni dostawcy Uniksa oferują podobne funkcje.