¿Por qué un inicio de sesión de Linux fallido tarda tanto? [duplicar]

26

Posible duplicado:
¿Por qué un intento de contraseña incorrecta tardaría más en procesarse que una correcta?

Cuando obtiene las credenciales de inicio de sesión correctas, inicia sesión inmediatamente. Cuando obtiene su contraseña incorrecta, hay un segundo retraso antes de que se le notifique y pueda volver a intentarlo.

¿Es esto una prevención contra el agrietamiento, o hay algo más detrás de escena?

linux login

— Decano
fuente

1

¡Noté una falla en un par de sistemas Linux que me permitió iniciar sesión como 'bin' sin requerir una contraseña!

— Frank R.

@ Frank - ¿Qué distribución? Esto me parece muy sorprendente.

— stefgosselin

distro = distribuciones ... sí, durante mucho tiempo, ha habido una falla de seguridad que muy pocas personas saben que permite que un hacker obtenga la contraseña de root.

— Frank R.

45

Es una prevención contra el agrietamiento. Es un retraso forzado, generalmente de 2 a 3 segundos antes de que se emita una nueva solicitud de inicio de sesión. Esto ayuda a prevenir ataques automáticos al hacer que la iteración sea demasiado larga para ser práctica.

En Linux, se puede configurar en el /etc/login.defsarchivo.

# Delay in seconds before being allowed another attempt after a login failure.
FAIL_DELAY              3

— Keith
fuente

8

En mi máquina, ese archivo de configuración dice que FAIL_DELAY está obsoleto por pam y debe manejarse en el archivo /etc/pam.d/login (pam_faildelay.so)

— matzahboy

16

La razón principal es, como dijiste, para detener los ataques automáticos. Simplemente ralentiza a un "tipo malo" potencial si solo puede probar diez contraseñas por minuto en lugar de cien.

También notará que el shell se reinicia completamente después de 3 o 4 intentos fallidos. Creo que esto es para separar o eliminar cualquier proceso adjunto que pueda ser malicioso.

— Jackweirdy
fuente

7

Supongo que es una forma de " Tarpitting " donde el servidor retrasa las conexiones entrantes el mayor tiempo posible

— Aterrador
fuente