¿Cómo sabe Linux que una nueva contraseña es similar a la antigua?

Tabla de contenido:

Video: ¿Cómo sabe Linux que una nueva contraseña es similar a la antigua?

Video: ¿Cómo sabe Linux que una nueva contraseña es similar a la antigua?
Video: ¿Cuántos megas de Internet necesito? 2024, Marcha
¿Cómo sabe Linux que una nueva contraseña es similar a la antigua?
¿Cómo sabe Linux que una nueva contraseña es similar a la antigua?
Anonim
Si alguna vez ha recibido un mensaje de que su nueva contraseña es demasiado similar a la anterior, puede que tenga curiosidad por saber cómo su sistema Linux "sabe" que son demasiado parecidos. La publicación de preguntas y respuestas de SuperUser de hoy ofrece un vistazo detrás de la "cortina mágica" a lo que está sucediendo para un lector curioso.
Si alguna vez ha recibido un mensaje de que su nueva contraseña es demasiado similar a la anterior, puede que tenga curiosidad por saber cómo su sistema Linux "sabe" que son demasiado parecidos. La publicación de preguntas y respuestas de SuperUser de hoy ofrece un vistazo detrás de la "cortina mágica" a lo que está sucediendo para un lector curioso.

La sesión de Preguntas y Respuestas de hoy nos llega por cortesía de SuperUser, una subdivisión de Stack Exchange, un grupo de sitios web de preguntas y respuestas impulsado por la comunidad.

Captura de pantalla cortesía de marc falardeau (Flickr).

La pregunta

El lector SuperUser LeNoob quiere saber cómo un sistema Linux "sabe" que las contraseñas son muy similares entre sí:

I tried to change a user password on various Linux machines a few times and when the new password was much like the old one, the operating system said that they were too similar.

I have always wondered, how does the operating system know this? I thought passwords were saved as a hash. Does this mean that when the system is able to compare the new password for similarity to the old one that it is actually saved as plain text?

¿Cómo sabe un sistema Linux que las contraseñas son demasiado similares entre sí?

La respuesta

El colaborador de SuperUser slhck tiene la respuesta para nosotros:

Since you need to supply both the old and new passwords when using passwd, they can be easily compared in plain text.

Your password is indeed hashed when it is finally stored, but until that happens, the tool where you are entering your password can just access it directly.

This is a feature of the PAM system which is used in the background of the passwd tool. PAM is used by modern Linux distributions. More specifically, pam_cracklib is a module for PAM that allows it to reject passwords based on similarities and weaknesses.

It is not just passwords which are too similar that can be considered insecure. The source code has various examples of what can be checked, such as whether a password is a palindrome or what the edit distance is between two words. The idea is to make passwords more resistant against dictionary attacks.

See the pam_cracklib manpage for more information.

Asegúrese de leer el resto de la animada discusión en SuperUser a través del hilo del tema vinculado a continuación.

¿Tienes algo que añadir a la explicación? Apaga el sonido en los comentarios. ¿Quieres leer más respuestas de otros usuarios de Stack Exchange con experiencia en tecnología? Echa un vistazo a la discusión completa aquí.

Recomendado: