Вопросы Теги

Можно ли взломать пароли пользователей из файла etc / shadow?

У меня вопрос: если кто-нибудь взломал привилегии в файле /etc/shadow, сможет ли он взломать пароли пользователей системы.

Если да, как я могу защитить больше своих паролей и как сделать так, чтобы взломщику было трудно взломать пароли моих пользователей.

Любое предложение?

4
задан 14.05.2020, 15:26

2 ответа

После исследования я могу ответить на это вопросы:

Может пароли быть взломанным: Да

, Как: при помощи взломанного программного обеспечения как: John безопасность Превосходного человека программное обеспечение, которое является открытым исходным кодом и может быть установлено легко.

, Что должно быть уровнем взломщика: Новичок , потому что это программное обеспечение довольно хорошо и существует много инструкций относительно сети, как использовать его.

Вот То, как прост в использовании это для взламывания паролей! Ссылка

, Что я должен сделать, чтобы быть более безопасным? 

1) Make sure you use SHA512 on your passwords instead of DES and md5 !
2) Use a password cracker  to filter out weak passwords .
3) Use different passwords on different systems.
4) force users to change their passwords - the root password should be changed even more frequently!
5) Your passwords should be:
At least 8 characters long.
Have at least one number.
Have at least one non-alphanumeric character.
Not consist of a dictionary word.
Have both upper and lower case letters.

Ссылки: dankalia

5
ответ дан 14.05.2020, 15:27
  • 1
    В то время как я соглашаюсь с Вашими точками зрения 1 - 3, я категорически не согласен с 4 и 5. 4: Когда пользователи вынуждены часто изменять пароли, они используют очень простые и пишут, что это на постэтом отмечает на мониторе или подобный. 5: пароли должны быть более длительными (12 символов или больше? 8 достаточно определенно), и длина является единственной вещью, которая действительно рассчитывает. Правила mixed-case-numbers-etc., которые вызываются на пользователях, являются БАКАЛАВРОМ НАУК и выводом к, снова, пароли на пост. Длинный пароль с общими словами намного лучше, чем " 8! x5A? ~.". попробуйте его JTR. И конечно, посмотрите xkcd кавычка – Sebastian Rittau 14.05.2020, 15:27
  • 2
    Ответ @dankalia в порядке, но I' d изменяют его немного: 1. Используйте случайный генератор пароля. После несколько раз ввода его Вы будете памяти это. 2. С достаточно сильными, случайными неразделенными паролями (Т.е. не снова использованный для нескольких учетных записей), я нахожу, что сброс пароля принуждения вреден, don' t делают это. 3. Используйте хранилище зашифрованного пароля (например, lastpass, но существует много других) скопировать пароли (например, на всякий случай Вы забываете, или пароли Вы don' t используют так часто). – codenamezero 14.05.2020, 15:27
  • 3
    Возможно..., но stormpath.com/blog/5-myths-password-security – colymore 14.05.2020, 15:28
  • 4
    это - то, что говорит о, я хочу изучить, как сделать мою систему более защищенной. – Scott Barta 14.05.2020, 15:28
  • 5
    @Rmano, не уверенный, что та ссылка имеет отношение к этому вопросу. nux я думаю часть информации, из которой Вы разместили, большая часть, немного устарел. Ubuntu не использовал md5 или des в течение многих лет. – Gangnus 14.05.2020, 15:28

В то время как DES никогда не должен использоваться, MD5 также слаб. Проверьте свой/etc/login.defs файл на установку ENCRYPT_METHOD. SHA512 является самым сильным возможным вариантом, насколько я знаю. Если Ваши хеши в/etc/shadow запускаются с "$ за 6$", это - SHA512, который я думаю, как, известно, не повреждается (в отличие от DES и MD5). Конечно, хеши сильного пароля не означают, что простые пароли не могут все еще быть легко взломаны - они могут.

7
ответ дан 14.05.2020, 15:27
  • 1
    @KevinSoviero, вопрос не, который имеет больше энтропии, а насколько трудный это к , находят пароль, учитывая хеш. Который совершенно зависит от времени, которое требуется для вычисления хеша и насколько сложный пароль. Длина хеша только имеет значение, ищете ли Вы дублирующийся пароль, который дает тот же хеш. – McFarlane 14.05.2020, 15:27
  • 2
    Это doesn' t имеют значение, что хеширует Вас использование; если у Вас есть хеш и достаточно времени и предположения, что пароль относительно короток (это isn' t сотни символов в длину или больше), тогда можно найти его. – CrandellWS 14.05.2020, 15:28
  • 3
    @psusi, strngth пароля как dervied от it' s длина ограничен длиной (в байтах) сгенерированного хеша. Вы can' t имеют больше энтропии тогда сам механизм хранения. Например, sha512 хеши 64 байта длиной, таким образом, любой пароль, неважно, сколько времени, не может быть более безопасным, чем 64 байта позволили бы. – Dave Jarvis 14.05.2020, 15:29

Теги

Похожие вопросы