Вопросы Теги

Действительно ли защита грубой силы sudo очень полезна?

try - 

sudo apt-get update && sudo apt-get -f install

, а затем посмотрите, появляются ли подсказки.

1
задан 13 April 2017 в 15:24

2 ответа

Получите ваш пароль в первый раз?

Любопытно, что я решил проверить ваше утверждение о том, что задержка не остановит скот. Кажется глупым, что это может позволить это ... Но здесь я выполняю сразу 2000 отдельных потоков. Это работает. 

parallel -j2000 sh -c 'echo $"{}\n" | sudo -S echo; echo done' -- {1..2000}

Это помехи auth.log с ошибками, но он никогда не грузит выше «2 неправильных попытки пароля».

Я полагал, что PAM должен был остановить людей. Отсюда и задержка. Это может быть дизайн [плохой], или это может быть просто [довольно серьезная] ошибка.

У меня есть система со слабым паролем в сети. Я пытаюсь попробовать этот метод, чтобы увидеть, что он действительно может масштабироваться до грубой силы пароля.

3
ответ дан 23 May 2018 в 13:23
  • 1
    Я нахожусь в «довольно серьезной ошибке» -team: + – Rinzwind 20 February 2016 в 16:50
  • 2
    1 вещь: вы используете параллельную локально. Это нужно делать дистанционно. ssh будет иметь эту задержку. – Rinzwind 20 February 2016 в 17:30
  • 3
    @Rinzwind Возможно, для входа в SSH, но я все равно могу грубо атаковать sudo параллельно без задержки. Нет отказа в том, что удаленное устройство хуже, но это должно быть запущено через учетную запись. Все еще довольно серьезно. – Oli♦ 20 February 2016 в 20:24
  • 4
    Чтобы быть точным, если вы можете перенаправить учетную запись через sudo, вы получаете то, что этому пользователю разрешено делать через sudo, что не является / всегда / даже необязательно полным привилегиями root. Опять же: защита в глубину. – jdv 21 February 2016 в 18:17
  • 5
    Многие люди упоминают параллелизм, чтобы обойти это, но это первый пост, который я вижу там, где это демонстрируется. Приобретено за это. – Luc 18 April 2017 в 16:46

Как вы видите, что это происходит «параллельно»?

С 8-символьным паролем у вас есть (26 + 26 + 10 + 12 =) 74 ^ ​​8 возможных слов. Делает уникальные слова для 899.194.740.203.776. С 3-секундной задержкой (это 3 ;-)), которая составляет 85,539,834 года (899,194,740,203,776 * 3 / (365 * 24 * 60 * 60)). Предположим, вам понадобится половина попыток, так что это будет 42.769.917 лет. Даже с попытками 100000 (возможно, я знаю) параллельно он будет (в среднем) занимать примерно 427 лет.

Система, нуждающаяся в защите (например, база данных учетной записи пользователя), будет иметь хороший набор паролей (так что 8 символов могут быть еще больше), а также настроить почтовую систему, чтобы предупредить администратора, что кто-то сильно терпят неудачу.

По-прежнему считаете, что это возможно?

0
ответ дан 23 May 2018 в 13:23
  • 1
    (См. Мой ответ для «как параллельно», он работает очень эффективно, но я не уверен, пока он масштабируется) – Oli♦ 20 February 2016 в 16:45
  • 2
    Хммм. Это снизит время на фактор 3. Еще 142 года, но это становится более реалистичным для успеха, чем хотелось бы. – Rinzwind 20 February 2016 в 16:48
  • 3
    Также вы предполагаете худший сценарий. Возможно, злоумышленник попробовал пароли из списка. Дело в том, что на 100% возможно выполнить команду bruteforce, а тайм-аут не так полезен. – hytromo 20 February 2016 в 17:29
  • 4
    Пароль должен считаться случайными символами, а не словами диктатуры. Все системы (около 40 или около того), которые я знаю пароль sudo или root, имеют случайные буквы (не менее 8 символов). – Rinzwind 20 February 2016 в 17:32

Другие вопросы по тегам:

Похожие вопросы: