Як Linux знає, що новий пароль схожий на попередній?

Кілька разів я намагався змінити пароль користувача на різних машинах Linux, і коли новий пароль був подібний до старого, ОС скаржилася, що вони занадто схожі.

Я завжди цікавився, як система це знає? Я подумав, що пароль зберігається як хеш. Чи означає це, що коли система зможе порівняти новий пароль за подібністю, старий фактично зберігається як звичайний текст?

Оскільки під час використання вам потрібно надати і старий, і новий пароль passwd, їх можна легко порівняти в простому тексті, в пам'яті, не записуючи їх десь на диску.

Дійсно, ваш пароль хеширується, коли він остаточно зберігається, але поки це не станеться, інструмент, де ви вводите свій пароль, звичайно, може просто отримати доступ до нього безпосередньо, як і будь-яка інша програма, може отримати доступ до речей, які ви ввели на клавіатурі під час читання з STDIN.

Це особливість системи PAM, яка використовується у фоновому режимі passwdінструменту. PAM використовується сучасними дистрибутивами Linux.

Більш конкретно, pam_cracklibце модуль для PAM, який дозволяє відхиляти паролі на основі декількох недоліків, які роблять їх дуже вразливими.

Не просто паролі, які занадто схожі, можна вважати небезпечними. У вихідному коді є різні приклади того, що можна перевірити, наприклад, чи є пароль паліндром чи відстань редагування між двома словами. Ідея полягає в тому, щоб зробити паролі більш стійкими проти атак на словники.

Дивіться також сторінку pam_cracklib.

Принаймні в моєму Ubuntu, "надто схожі" повідомлення виписуються коли: "... більше половини символів є різними ...." (детальніше див. нижче). завдяки підтримці PAM, як чітко пояснено у відповіді @slhck.

Для інших платформ, де PAM не використовується, повідомлення "надто схожих" виходять, коли: "... більше половини символів є різними ...." (детальніше див. Нижче)

Щоб додатково перевірити цю заяву самостійно, можна перевірити вихідний код. Ось як.

Програма "passwd" включена в пакет passwd:

verzulli@iMac:~$ which passwd
/usr/bin/passwd
verzulli@iMac:~$ dpkg -S /usr/bin/passwd
passwd: /usr/bin/passwd

Оскільки ми маємо справу з технологіями з відкритим кодом, у нас є необмежений доступ до вихідного коду. Отримати це так просто, як:

verzulli@iMac:/usr/local/src/passwd$ apt-get source passwd

Згодом легко знайти відповідний фрагмент коду:

verzulli@iMac:/usr/local/src/passwd$ grep -i -r 'too similar' .
[...]
./shadow-4.1.5.1/NEWS:- new password is not "too similar" if it is long enough
./shadow-4.1.5.1/libmisc/obscure.c:     msg = _("too similar");

Швидкий перевір на "obscure.c" дає це (я вирізаю і вставляю лише відповідний фрагмент коду):

static const char *password_check (
    const char *old,
    const char *new,
    const struct passwd *pwdp)
{
    const char *msg = NULL;
    char *oldmono, *newmono, *wrapped;

    if (strcmp (new, old) == 0) {
            return _("no change");
    }
    [...]
    if (palindrome (oldmono, newmono)) {
            msg = _("a palindrome");
    } else if (strcmp (oldmono, newmono) == 0) {
            msg = _("case changes only");
    } else if (similar (oldmono, newmono)) {
            msg = _("too similar");
    } else if (simple (old, new)) {
            msg = _("too simple");
    } else if (strstr (wrapped, newmono) != NULL) {
            msg = _("rotated");
    } else {
    }
    [...]
    return msg;
}

Отже, тепер ми знаємо, що існує "аналогічна" функція, яка базується на перевірці старого та нового - чи обидва схожі. Ось фрагмент:

/*
 * more than half of the characters are different ones.
 */
static bool similar (const char *old, const char *new)
{
    int i, j;

    /*
     * XXX - sometimes this fails when changing from a simple password
     * to a really long one (MD5).  For now, I just return success if
     * the new password is long enough.  Please feel free to suggest
     * something better...  --marekm
     */
    if (strlen (new) >= 8) {
            return false;
    }

    for (i = j = 0; ('\0' != new[i]) && ('\0' != old[i]); i++) {
            if (strchr (new, old[i]) != NULL) {
                    j++;
            }
    }

    if (i >= j * 2) {
            return false;
    }

    return true;
}

Я не переглянув код С. Я обмежився довірою коментаря перед визначенням функції :-)

Розмежування платформ, відомих PAM та NON-PAM, визначається у файлі "obscure.c", який структурується так:

#include <config.h>
#ifndef USE_PAM
[...lots of things, including all the above...]
#else                           /* !USE_PAM */
extern int errno;               /* warning: ANSI C forbids an empty source file */
#endif                          /* !USE_PAM */

Відповідь набагато простіша, ніж ви думаєте. Насправді це майже кваліфікується як магія, тому що як тільки ви поясните фокус, він пропаде:

$ passwd
Current Password:
New Password:
Repeat New Password:

Password changed successfully

Він знає, що ваш новий пароль схожий ... Тому що ви ввели старий лише за мить до цього.

Хоча інші відповіді вірні, можливо, варто згадати, що вам не потрібно вводити старий пароль, щоб це працювало!

Насправді, можна створити купу паролів, подібних до нового пароля, який ви ввели, хеште їх, а потім перевірте, чи відповідає якийсь із цих хешів старому. Якщо це так, то новий пароль оцінюється аналогічно старому! :)

Один аспект не висвітлювався: історія паролів. Деякі системи це підтримують. Для цього він зберігає історію паролів і зашифровує їх поточним паролем. При зміні пароля він використовує "старий" пароль для розшифрування списку та підтвердження. І коли він встановлює новий пароль, він зберігає список (знову) зашифрований ключем, отриманим з нового пароля.

Так remember=Nпрацює PAM (зберігається в /etc/security/opasswd). Але також Windows та інші постачальники Unix пропонують подібні функції.