कंप्यूटर को "अमान्य पासवर्ड" का जवाब देने में इतना समय क्यों लगता है, जब सही पासवर्ड का उपयोग करना तत्काल के पास है? [डुप्लिकेट]

Question

जब आप एक पासवर्ड दर्ज करते हैं और यह सही होता है तो प्रतिक्रिया व्यावहारिक रूप से तात्कालिक होती है (अर्थात प्रक्रिया पर लॉग)।

जब आप एक गलत पासवर्ड दर्ज करते हैं (आकस्मिक रूप से, भूल गए, आदि) हालांकि, इससे पहले कि पासवर्ड गलत था, यह प्रतिक्रिया देने में कुछ समय (10-30 सेकंड) लेता है।

"गलत पासवर्ड" कहने में इतना समय (अपेक्षाकृत) क्यों लगता है?

इसने मुझे हमेशा विंडोज और लिनक्स (वास्तविक और वीएम) पर गलत पासवर्ड दर्ज करने के बारे में उकसाया है; मैं मैक ओएसएक्स के बारे में निश्चित नहीं हूं क्योंकि मुझे याद नहीं है कि क्या यह समान है, जब से मैंने आखिरी बार मैक का उपयोग किया था, कुछ समय हो गया है।

संपादित करें: डुप्लिकेट के लिए, मैं उपयोगकर्ता के संदर्भ में भौतिक कंप्यूटर पर सिस्टम के बजाय ssh के माध्यम से लॉग इन करने के लिए कह रहा हूं, जो कि साख को अलग करने के लिए / मान्य क्रेडेंशियल्स में प्रवेश करने के लिए कुछ अलग तंत्र का उपयोग कर सकता है।

Comments

कारण डुप्लिकेट (SSH लॉगिन) की तुलना में बिल्कुल वही हैं।

— जेन्स इरट

वे नहीं हैं, संदर्भ अलग है; अन्य अंतर यह है कि उत्तर दिया गया विवरण उतना विस्तृत नहीं है

— थर्मेटिक्स

मैं ओपी से सहमत हूं। प्रश्न निश्चित रूप से संबंधित हैं, लेकिन समान नहीं हैं। एक जवाब "SSH को दूरस्थ कनेक्शन पर 'अवैध पासवर्ड' कहने में इतना समय क्यों लगता है?" यह आवश्यक नहीं है कि "जब मैं सांत्वना में हो तो" अमान्य पासवर्ड कहने के लिए विंडोज लॉगिन में इतना समय क्यों लगता है? " निश्चित रूप से संबंधित, संदेह से डुप्लिकेट।

— एक CVn

पोस्टीरिटी के लिए, यदि यह फिर से चालू हो जाता है, तो माना जाता है कि एक गलत पासवर्ड क्यों एक सही प्रयास की तुलना में प्रक्रिया में बहुत अधिक समय लेता है? , लेकिन ध्यान दें कि शीर्षक से परे, केवल विशिष्ट उदाहरण दिया गया है जो कि लिनक्स होस्ट के लिए एक दूरस्थ एसएसएच कनेक्शन है।

— एक CVn

Answer 1

"गलत पासवर्ड" कहने में इतना समय (अपेक्षाकृत) क्यों लगता है?

यह नहीं है या इसके बजाय, यह कंप्यूटर को यह निर्धारित करने में अधिक समय नहीं लेता है कि आपका पासवर्ड सही होने की तुलना में गलत है। कंप्यूटर के लिए शामिल कार्य आदर्श रूप से समान है। (कोई भी पासवर्ड सत्यापन योजना जो कि पासवर्ड सही है या गलत है इसके आधार पर ज्ञान प्राप्त करने के लिए अलग-अलग समय लिया जा सकता है, हालाँकि, कम समय में पासवर्ड का छोटा होना, अन्यथा मामला होगा।)

देरी अलग-अलग पासवर्डों का उपयोग करके बार-बार पहुंच प्राप्त करने की कोशिश कर रहा एक कृत्रिम देरी है, भले ही आपको पता हो कि पासवर्ड की संभावना क्या है और स्वचालित खाता लॉकआउट अक्षम है (जो कि यह अधिकांश परिदृश्यों में होना चाहिए, क्योंकि यह अन्यथा होगा) एक मनमाना खाते के खिलाफ सेवा के एक तुच्छ इनकार के लिए अनुमति दें)।

इस व्यवहार के लिए सामान्य शब्द टारपीटिंग है । जबकि विकिपीडिया लेख नेटवर्क सेवा के बारे में अधिक बात करता है, अवधारणा सामान्य है। ओल्ड न्यू थिंग एक आधिकारिक स्रोत भी नहीं है, लेकिन किसी अमान्य पासवर्ड को मान्य मानने की तुलना में इसे अस्वीकार करने में अधिक समय क्यों लगता है? लेख के अंत के पास इस बारे में बात करता है।

Comments

मैं भी यही सोच रहा था! दिलचस्प प्रतिक्रिया। काश, वे देरी को थोड़ा कम कर सकते, हालांकि, जब तक आप सही दबाए जाने का एहसास करते हैं, तब तक इंतजार करना कष्टप्रद होता है, यह गलत है: P

— Blaine

यह सुरक्षा काफी हद तक इंटरैक्टिव लॉग्स के बजाय स्क्रिप्ट और स्वचालित ब्रूट बल तकनीकों पर लक्षित है। ऐसे कुछ कारण हैं जो आप समय को समायोजित नहीं कर सकते हैं, जिसमें कई मामलों में देरी यादृच्छिक (मिलीसेकंड के आदेश पर) शामिल है। क्रिप्टोग्राफी के हमलों के एक सेट को टाइमिंग विश्लेषण के रूप में संदर्भित किया जाता है, जो एक त्रुटि संदेश का उत्पादन करने में कितना समय लगा, इसके आधार पर एक क्रिप्टोग्राफ़िक कुंजी का ज्ञान प्राप्त करने का प्रयास करता है। एक यादृच्छिक देरी अच्छी तरह से हरा देती है।

— फ्रैंक थॉमस

@FrankThomas मैं आसानी से स्वीकार करूंगा कि मैं उस साधन को नहीं बताता जिसके द्वारा बार-बार प्रयास किए जा रहे थे। उस ने कहा, अवैध सुरक्षा प्रदान करने, कुछ संक्षिप्त लेकिन मानव-बोधगम्य राशि के लिए आगे के प्रयासों को रोकने पर कई सुरक्षा प्रणालियों में बहुत वास्तविक और ध्यान देने योग्य देरी होती है। चूंकि उस बिंदु पर आप पहले से ही सिस्टम को अंतःक्रियात्मक रूप से एक्सेस कर रहे हैं, क्रिप्टोग्राफिक प्राइमेटिक्स पर माइक्रोसेकंड या मिलीसेकंड स्तर के समय के हमले वास्तव में लागू नहीं होते हैं।

— एक सीवीएन

क्या यह आधिकारिक है? क्या आपके पास एक लेख या संदर्भ के लिए कुछ है?

— rfportilla

@rfportilla "आधिकारिक"? ओ.पी. एक शुरुआत के लिए दो या तीन पूरी तरह से अलग-अलग ऑपरेटिंग सिस्टम के बारे में पूछ रहा है, जिनमें से एक में किसी भी सिस्टम-स्तर के एप्लिकेशन (लॉगिन प्रबंधक, स्क्रीनसेवर, ...) पासवर्ड के लिए संकेत दे सकते हैं, और अन्य दो मालिकाना हैं। (इसलिए हम उनके आंतरिक कामकाज को नहीं जानते हैं)। उस सभी को कवर करने के लिए एक आधिकारिक स्रोत प्रदान करना संभव नहीं है । यदि प्रश्न यह था कि "gdm3 ऐसा क्यों करता है?" तब वास्तव में आधिकारिक उत्तर संभव हो सकता है, लेकिन यहाँ ऐसा नहीं है।

— एक सीवीएन १15