新しいパスワードが古いパスワードと似ていることをLinuxはどのように認識しますか？

新しいパスワードが古いパスワードとあまりにも似ているというメッセージを受け取ったことがある場合は、Linuxシステムがそれらがあまりにも似ていることをどのように認識しているかについて興味があるかもしれません。本日のSuperUser Q&Aの投稿は、好奇心旺盛な読者のために何が起こっているのかを「マジックカーテン」の裏で覗いています.

本日の質疑応答セッションは、コミュニティ主導のQ&A Webサイトのグループである、Stack Exchangeの下位区分であるSuperUserの好意により提供されます。.

スクリーンショット提供：marc falardeau（Flickr）.

質問

SuperUserの読者LeNoobは、Linuxシステムがパスワードが互いにあまりにも似ていることをどのように「知っている」かを知りたいと思っています。

私は数回、さまざまなLinuxマシンのユーザーパスワードを変更しようとしましたが、新しいパスワードが古いパスワードとほとんど同じであったとき、オペレーティングシステムはそれらがあまりにも似ていると言いました.

私はいつも疑問に思っていました、オペレーティングシステムはこれをどのように知っていますか？パスワードはハッシュとして保存されていると思いました。これは、システムが新しいパスワードと古いパスワードとの類似性を比較できるときに、実際にプレーンテキストとして保存されることを意味します。?

Linuxシステムは、パスワードが互いにあまりにも似ていることをどのように「認識」していますか。?

答え

SuperUserの寄稿者slhckが私たちに答えを持っています。

passwdを使用するときは古いパスワードと新しいパスワードの両方を入力する必要があるため、プレーンテキストで簡単に比較できます。.

パスワードは最終的に保存されると実際にハッシュされますが、それが発生するまでは、パスワードを入力しているツールから直接アクセスすることができます。.

これは、passwdツールのバックグラウンドで使用されているPAMシステムの機能です。 PAMは最新のLinuxディストリビューションで使用されています。より具体的には、pam_cracklibは、類似点と弱点に基づいてパスワードを拒否することを可能にするPAM用のモジュールです。.

安全でないと見なすことができるのは、あまりにも似ているパスワードだけではありません。ソースコードには、パスワードが回文であるかどうか、2つの単語間の編集距離など、確認できることのさまざまな例があります。アイデアはパスワードを辞書攻撃に対してより抵抗力があるようにすることです.

詳細についてはpam_cracklibのマンページを参照してください。.

以下にリンクされているトピックスレッドを経由して、SuperUserでの活発な議論の残りの部分を必ず読んでください。.

説明に追加するものがありますか？コメントで音を消す。他の技術に精通したStack Exchangeユーザーからの回答をもっと読みたいですか？こちらのディスカッションスレッドをチェックしてください。.