इस सवाल ने मुझे हमेशा परेशान किया।
लिनक्स पर, जब आपसे पासवर्ड मांगा जाता है, यदि आपका इनपुट सही है, तो यह एकदम सही है, लगभग बिना किसी देरी के। लेकिन, दूसरी ओर, यदि आप गलत पासवर्ड टाइप करते हैं, तो जांच में अधिक समय लगता है। ऐसा क्यों है?
मैंने इसे उन सभी लिनक्स वितरणों में देखा है जिन्हें मैंने कभी कोशिश की है।
जवाबों:
यह वास्तव में क्रूर बल के हमलों को प्रति सेकंड लाखों पासवर्ड की कोशिश करने से रोकना है। यह विचार सीमित करने के लिए है कि कैसे तेजी से पासवर्ड की जांच की जा सकती है और कई नियम हैं जिनका पालन किया जाना चाहिए।
वह अंतिम एक विशेष रूप से महत्वपूर्ण है। इसका मतलब है कि कोई उपयोगी संदेश नहीं:
Your user name is correct but your password is wrong, please try again
या:
Sorry, password wasn't long enough
"अमान्य उपयोगकर्ता और पासवर्ड" और "मान्य उपयोगकर्ता लेकिन अमान्य पासवर्ड" विफलता कारणों के बीच प्रतिक्रिया में एक समय का अंतर भी नहीं है।
प्रत्येक विफलता को बिल्कुल वही जानकारी, पाठ्य और अन्यथा वितरित करनी चाहिए।
कुछ सिस्टम इसे और भी आगे ले जाते हैं, प्रत्येक विफलता के साथ देरी बढ़ जाती है, या केवल तीन विफलताओं की अनुमति देता है, फिर एक वापसी की अनुमति देने से पहले बड़े पैमाने पर देरी होती है।
इससे पासवर्ड का अनुमान लगाने में अधिक समय लगता है।
मुझे यकीन नहीं है, लेकिन हमलों को कठिन बनाने के लिए एक गलत पासवर्ड दर्ज करने के बाद देरी को एकीकृत करना काफी आम है। यह एक हमले को व्यावहारिक रूप से प्रभावी बनाता है, क्योंकि आपको केवल कुछ पासवर्ड की जांच करने में लंबा समय लगेगा।
यहां तक कि कुछ पासवर्ड - जन्मतिथि, बिल्ली का नाम और उस तरह की चीज़ों को आज़माने से भी कोई मज़ा नहीं आता।
123456सकता है अच्छी तरह से घुसपैठ किए गए खातों की (उदाहरण के लिए) 30% है, लेकिन कहीं भी पास में महत्वपूर्ण है कि होने की संभावना नहीं है सभी खातों।
मूल रूप से जानवर बल और शब्दकोश हमलों के खिलाफ कम करने के लिए।
से लिनक्स-पीएएम आवेदन डेवलपर की मार्गदर्शिका :
देरी के लिए योजना
extern int pam_fail_delay(pam_handle_t *pamh, unsigned int micro_sec);यह फ़ंक्शन लिनक्स-पीएएम द्वारा pam_authenticate () को विफल कॉल के बाद समय की देरी की सुविधा के लिए पेश किया जाता है और आवेदन पर नियंत्रण वापस आने से पहले। इस फ़ंक्शन का उपयोग करते समय एप्लिकेशन प्रोग्रामर को यह जांचना चाहिए कि क्या यह उपलब्ध है,
#ifdef PAM_FAIL_DELAY .... #endif /* PAM_FAIL_DELAY */आम तौर पर, एक एप्लिकेशन अनुरोध करता है कि उपयोगकर्ता pam_authenticate () या pam_chauthtok () को कॉल के माध्यम से लिनक्स-पीएएम द्वारा प्रमाणित है। ये फ़ंक्शन प्रासंगिक लिनक्स-पीएएम कॉन्फ़िगरेशन फ़ाइल में सूचीबद्ध प्रत्येक स्टैक्ड प्रमाणीकरण मॉड्यूल को कॉल करते हैं। जैसा कि इस फ़ाइल द्वारा निर्देशित किया गया है, अधिक मॉड्यूल में से एक pam _... () कॉल को विफल करने के कारण विफल हो सकता है। आवेदन जारी रहने से पहले वहां विराम देना भी वांछनीय है। इस तरह की देरी का मुख्य कारण सुरक्षा है: एक देरी मुख्य रूप से जानवर बल शब्दकोश हमलों को हतोत्साहित करने के लिए कार्य करता है, लेकिन यह समयबद्ध (गुप्त चैनल) हमलों में भी मदद करता है।
यह सुरक्षा बढ़ाने के लिए एक बहुत ही सरल, वस्तुतः सरल तरीका है। विचार करें:
सिस्टम Aमें कोई देरी नहीं है। एक हमलावर का एक प्रोग्राम है जो उपयोगकर्ता नाम / पासवर्ड संयोजन बनाता है। प्रति मिनट हजारों प्रयासों की दर से, हर संयोजन को आज़माने और सभी सफल लॉगिन रिकॉर्ड करने में केवल कुछ घंटे लगते हैं।
सिस्टम Bप्रत्येक गलत अनुमान के बाद 5 सेकंड की देरी उत्पन्न करता है। हमलावर की दक्षता को प्रति मिनट 12 प्रयासों तक कम कर दिया गया है, प्रभावी रूप से जानवर-बल के हमले से अपंग। घंटों के बजाय, एक वैध लॉगिन खोजने में महीनों लग सकते हैं। अगर हैकर्स उस मरीज थे, तो वे वैध हो जाएंगे। :-)
लॉगिन प्रयास की दर को कम करने में विफल प्रमाणीकरण विलंब हैं। यह विचार कि अगर कोई किसी के खिलाफ एक शब्दकोश या एक क्रूर बल हमला करने की कोशिश कर रहा है या उपयोगकर्ता खातों में हो सकता है कि हमलावर को असफल देरी का इंतजार करना होगा और इस तरह उसे अधिक समय लेने के लिए मजबूर करना होगा और आपको इसका पता लगाने का अधिक मौका देगा।
आपको यह जानने में भी रुचि हो सकती है कि आप एक लॉगिन शेल के रूप में जो उपयोग कर रहे हैं, उसके आधार पर आमतौर पर इस देरी को कॉन्फ़िगर करने का एक तरीका है।
GDM में, देरी gdm.conf फ़ाइल में सेट की जाती है (आमतौर पर /etc/gdm/gdm.conf में)। आपको RetryDelay = x सेट करने की आवश्यकता है जहां x सेकंड में एक मान है।
इन दिनों अधिकांश लिनक्स वितरण भी Fet_DELAY /etc/login.defs में परिभाषित होने का समर्थन करते हैं जो आपको एक असफल लॉगिन प्रयास के बाद प्रतीक्षा समय निर्धारित करने की अनुमति देते हैं।
अंत में, PAM आपको असफलता देरी को दरकिनार करने के लिए अपनी ऑडी लाइन पर एक नोडेल्ले विशेषता सेट करने की अनुमति देता है। ( यहाँ PAM और linux पर एक लेख )
मैं यह नहीं देखता कि यह उतनी ही सरल हो सकती है जितनी प्रतिक्रियाएं बताती हैं।
यदि एक सही पासवर्ड की प्रतिक्रिया (कुछ मूल्य का) तत्काल है, तो आपको केवल यह जानने के लिए प्रतीक्षा करने की आवश्यकता नहीं है कि पासवर्ड गलत है? (कम से कम संभावित रूप से पता है, जो खुर उद्देश्यों के लिए ठीक है) और वैसे भी आप इस हमले को समानांतर में चला रहे होंगे ... क्या यह सभी एक बड़ा DoS स्वागत चटाई है?
मैंने काम करने से पहले जो कोशिश की, वह वास्तव में नहीं हुई; अगर आपको परवाह है कि आपको इतिहास को संपादित करने वाले विकी की समीक्षा करनी चाहिए ...
क्या काम करता है (मेरे लिए) है, दोनों को pam_faildelay.so देरी = X में /etc/pam.d/login के मूल्य को कम करने के लिए (मैंने इसे 500000, आधे सेकंड तक कम कर दिया है), और इससे पहले भी सोडेल (जोड़कर देखें) गैब्रियल द्वारा उनके उत्तर में वर्णित के अनुसार, सामान्य- पंक्ति में पंक्ति के अंत तक का स्थान) ।
auth [success=1 default=ignore] pam_unix.so nullok_secure nodelay
कम से कम मेरे लिए (डेबियन साइड), केवल इन परिवर्तनों में से एक बनाने से डिफ़ॉल्ट 3 सेकंड से नीचे की सराहना में देरी नहीं होगी, हालांकि /etc/pam.d/login में केवल मान बदलकर देरी को लंबा करना संभव है।
इस तरह की बकवास एक बड़े आदमी को रोने के लिए पर्याप्त है!
उबंटू 9.10 पर, और मुझे लगता है कि नए संस्करण भी, जिस फ़ाइल की आप तलाश कर रहे हैं वह स्थित है
/etc/pam.d/login
पंक्ति संपादित करें:
ऑर्टिकल वैकल्पिक pam_faildelay.so देरी = 3000000
दूसरे नंबर को आप चाहें तो बदल सकते हैं।
ध्यान दें कि 'nodelay' प्रमाणीकरण के लिए, मुझे लगता है कि आपको फ़ाइल को संपादित करना चाहिए
/etc/pam.d/common-auth
भी। रेखा पर:
सामान्य [सफलता = 1 डिफ़ॉल्ट = अनदेखा] pam_unix.so nullok_secure
'nodelay' को अंतिम (उद्धरण के बिना) जोड़ें। लेकिन 'नोडल' के बारे में यह अंतिम व्याख्या मेरे विचार से है।
मैं एक डेवलपर्स के नजरिए से एक नोट जोड़ना चाहूंगा। हालांकि यह नग्न आंखों के लिए स्पष्ट नहीं होगा कि एक स्मार्ट डेवलपर मैच मिलते ही मैच की क्वेरी से बाहर निकल जाएगा। साक्षी में, एक सफल मैच एक असफल मैच की तुलना में तेजी से पूरा होगा। क्योंकि, मिलान फ़ंक्शन सभी ज्ञात खातों में क्रेडेंशियल्स की तुलना तब तक करेगा जब तक कि यह सही मिलान न मिल जाए। दूसरे शब्दों में, मान लें कि आईडी द्वारा 1,000,000 उपयोगकर्ता खाते हैं; 001, 002, 003 इत्यादि। आपकी आईडी 43,001 है। इसलिए, जब आप एक सही उपयोगकर्ता नाम और पासवर्ड डालते हैं, तो स्कैन 43,001 पर रुक जाता है और आपको लॉग इन करता है। यदि आपकी क्रेडेंशियल्स गलत हैं, तो यह सभी 1,000,000 रिकॉर्ड को स्कैन करता है। दोहरे कोर सर्वर पर प्रसंस्करण समय का अंतर मिलीसेकंड में हो सकता है। विंडोज विस्टा पर 5 उपयोगकर्ता खातों के साथ यह नैनोसेकंड में होगा।
तकनीकी रूप से, यह जानबूझकर देरी "रैखिककरण हमले" जैसे हमलों को रोकने के लिए है (साथ ही अन्य हमले और कारण भी हैं) ।
हमले को स्पष्ट करने के लिए, एक कार्यक्रम पर विचार करें (इस जानबूझकर देरी के बिना), जो एक दर्ज सीरियल की जाँच करता है यह देखने के लिए कि क्या यह सही धारावाहिक से मेल खाता है, जो इस मामले में " xyba " होता है । दक्षता के लिए, प्रोग्रामर ने एक बार में एक चरित्र की जांच करने और गलत चरित्र पाए जाने पर बाहर निकलने का फैसला किया, शुरुआत से पहले लंबाई भी जांची जाती है।
सही धारावाहिक लंबाई गलत धारावाहिक लंबाई की तुलना में अधिक समय लेगी। इससे भी बेहतर (हमलावर के लिए), एक सीरियल नंबर जिसमें पहला चरित्र सही है, किसी भी गलत चरित्र वाले की तुलना में अधिक समय लगेगा। प्रतीक्षा समय में क्रमिक कदम है क्योंकि हर बार सही इनपुट पर जाने की तुलना में एक और लूप होता है।
- इसलिए, हमलावर चार-वर्ण स्ट्रिंग का चयन कर सकता है और यह कि स्ट्रिंग की शुरुआत में x को सबसे अधिक समय लगता है। (अनुमान से काम)
- हमलावर तब वर्ण को x के रूप में ठीक कर सकता है और दूसरे वर्ण को अलग-अलग कर सकता है, जिस स्थिति में वे पाएंगे कि y को सबसे लंबा समय लगता है।
- हमलावर फिर पहले दो पात्रों को xy के रूप में ठीक कर सकता है और तीसरे वर्ण को अलग-अलग कर सकता है, जिस स्थिति में वे पाएंगे कि b सबसे लंबा लगता है।
- हमलावर तो के रूप में पहले तीन चरित्र ठीक कर सकते हैं xyb और चौथे चरित्र, जो मामले में वे पाएंगे कि अलग-अलग एक सबसे लंबे समय तक ले जाता है।
इसलिए, हमलावर एक समय में धारावाहिक एक चरित्र को पुनर्प्राप्त कर सकते हैं।
Linearization.docx, नमूना आउटपुट
सीरियल नंबर चार वर्ण लंबा है, प्रत्येक वर्ण में 128 संभावित मान हैं। फिर 128 4 = 2 28 = 268,435,456 संभावित धारावाहिक हैं । यदि हमलावर को बेतरतीब ढंग से पूर्ण सीरियल नंबर का अनुमान लगाना चाहिए, तो वह सीरियल नंबर के बारे में 2 27 = 134,217,728 में अनुमान लगाती है, जो काम का एक बहुत बड़ा हिस्सा है । दूसरी ओर, ऊपर के रैखिककरण हमले का उपयोग करके, प्रत्येक अक्षर के लिए लगभग 4 * 64 = 2 8 = 256 अनुमानों की कुल अपेक्षित कार्य के लिए औसतन केवल 128/2 = 64 अनुमानों की आवश्यकता होती है , जो एक तुच्छ राशि है। काम की।
लिखा मार्शल की ज्यादातर से अनुकूलित है यह (मार्क टिकट की ': सिद्धांत और व्यवहार सूचना सुरक्षा "से लिया गया)। इसके अलावा ऊपर की गणना सही धारावाहिक लंबाई जानने के लिए आवश्यक अनुमान की मात्रा को ध्यान में नहीं रखती है।