ทำไมคอมพิวเตอร์ใช้เวลานานในการตอบสนองด้วย“ รหัสผ่านที่ไม่ถูกต้อง” เมื่อใช้รหัสผ่านที่ถูกต้องใกล้ทันที [ซ้ำ]


10

เมื่อคุณป้อนรหัสผ่านและถูกต้องการตอบสนองจะเกิดขึ้นทันที (เช่นกระบวนการเข้าสู่ระบบ)

เมื่อคุณป้อนรหัสผ่านไม่ถูกต้อง (โดยไม่ได้ตั้งใจลืม ฯลฯ ) อย่างไรก็ตามจะใช้เวลาสักครู่ (10-30 วินาที) ก่อนที่จะตอบว่ารหัสผ่านไม่ถูกต้อง

เหตุใดจึงใช้เวลานาน (ค่อนข้าง) ในการพูดว่า "รหัสผ่านไม่ถูกต้อง"

สิ่งนี้ทำให้ฉันสับสนเสมอเกี่ยวกับการป้อนรหัสผ่านที่ไม่ถูกต้องบน Windows และ linux (ของจริงและ VM) ฉันไม่แน่ใจเกี่ยวกับ mac OSX เพราะฉันจำไม่ได้ว่ามันเหมือนเดิมสักครู่แล้วตั้งแต่ฉันใช้ mac ครั้งล่าสุด

แก้ไข: เพื่อทำสำเนาฉันขอในบริบทของผู้ใช้เข้าสู่ระบบที่คอมพิวเตอร์ทางกายภาพมากกว่าผ่าน ssh ซึ่งอาจใช้กลไกที่แตกต่างกันค่อนข้างเพื่อเข้าสู่ระบบ / ตรวจสอบข้อมูลประจำตัว


เหตุผลนั้นเหมือนกันทุกประการเมื่อเปรียบเทียบกับการซ้ำซ้อน (ล็อกอิน SSH)
Jens Erat

บริบทไม่แตกต่างกัน ข้อแตกต่างอื่น ๆ คือคำตอบที่ให้ไว้นั้นไม่ละเอียดเท่าที่ควร
Thermatix

ฉันเห็นด้วยกับ OP คำถามเกี่ยวข้องกันอย่างแน่นอน แต่ไม่เหมือนกัน คำตอบของ "ทำไม SSH ถึงใช้เวลานานถึงจะพูดว่า 'รหัสผ่านไม่ถูกต้อง' ในการเชื่อมต่อระยะไกล? ไม่จำเป็นต้องเหมือนกับคำตอบของ "ทำไมจึงใช้เวลานานสำหรับการเข้าสู่ระบบ Windows เพื่อพูดว่า 'รหัสผ่านไม่ถูกต้อง' เมื่อฉันอยู่ที่คอนโซล?" แม้ว่าพวกเขาจะมีความคล้ายคลึงกัน เกี่ยวข้องกันอย่างแน่นอนซ้ำซ้อนอย่างสงสัย
CVn

สำหรับลูกหลานในกรณีที่สิ่งนี้ได้รับการเปิดใหม่สิ่งที่ควรทำซ้ำคือเหตุใดความพยายามในการใช้รหัสผ่านที่ไม่ถูกต้องจะใช้เวลานานกว่ากระบวนการที่ถูกต้อง? แต่โปรดทราบว่านอกเหนือจากชื่อตัวอย่างเฉพาะที่ระบุมีการเชื่อมต่อ SSH ระยะไกลกับโฮสต์ Linux
CVn

คำตอบ:


17

เหตุใดจึงใช้เวลานาน (ค่อนข้าง) ในการพูดว่า "รหัสผ่านไม่ถูกต้อง"

มันไม่ได้ หรือไม่ใช้คอมพิวเตอร์อีกต่อไปเพื่อตรวจสอบว่ารหัสผ่านของคุณไม่ถูกต้องเมื่อเทียบกับการแก้ไขให้ถูกต้อง งานที่เกี่ยวข้องกับคอมพิวเตอร์นั้นก็เหมือนกันทุกประการ (รูปแบบการตรวจสอบรหัสผ่านใด ๆ ที่ใช้เวลาต่างกันโดยขึ้นอยู่กับว่ารหัสผ่านนั้นถูกต้องหรือไม่ถูกต้องสามารถถูกนำไปใช้เพื่อให้ได้รับความรู้อย่างไรก็ตามรหัสผ่านมีขนาดเล็กในเวลาน้อยกว่ากรณีอื่น)

ความล่าช้าเป็นความล่าช้าในการประดิษฐ์ซ้ำ ๆ เพื่อพยายามเข้าถึงโดยใช้รหัสผ่านที่แตกต่างกันซึ่งเป็นไปไม่ได้แม้ว่าคุณจะมีความคิดว่ารหัสผ่านที่เป็นไปได้และการปิดใช้งานการล็อคบัญชีอัตโนมัติ (ซึ่งควรเป็นในสถานการณ์ส่วนใหญ่) อนุญาตให้ปฏิเสธการให้บริการกับบัญชีโดยพลการ)

คำทั่วไปสำหรับพฤติกรรมนี้จะtarpitting ในขณะที่บทความวิกิพีเดียพูดถึงเพิ่มเติมเกี่ยวกับบริการเครือข่ายผ้าใบกันน้ำแนวคิดคือทั่วไป สิ่งใหม่เก่าไม่ใช่แหล่งที่เป็นทางการ แต่ทำไมการปฏิเสธรหัสผ่านที่ไม่ถูกต้องใช้เวลานานกว่าการยอมรับรหัสที่ถูกต้อง จะพูดคุยเกี่ยวกับเรื่องนี้ในตอนท้ายของบทความ


ฉันก็สงสัยเช่นกัน! การตอบสนองที่น่าสนใจ ฉันหวังว่าพวกเขาจะทำให้การหน่วงเวลาสั้นลงเล็กน้อยเนื่องจากเป็นเรื่องน่ารำคาญที่จะต้องรอนานเมื่อคุณรู้ทันทีหลังจากกด Enter นั่นเป็นสิ่งที่ผิด: P
Blaine

1
การป้องกันนี้เป็นเป้าหมายส่วนใหญ่ที่สคริปต์และเทคนิคการบังคับเดรัจฉานแบบอัตโนมัติมากกว่าการเข้าสู่ระบบแบบโต้ตอบ มีสาเหตุบางประการที่คุณไม่สามารถปรับเวลาได้รวมถึงในหลายกรณีการหน่วงเวลานั้นเป็นแบบสุ่ม (ตามลำดับมิลลิวินาที) มีชุดของการโจมตีของการเข้ารหัสที่เรียกว่าการวิเคราะห์เวลาซึ่งพยายามที่จะได้รับความรู้เกี่ยวกับคีย์การเข้ารหัสตามระยะเวลาที่ใช้ในการสร้างข้อความแสดงข้อผิดพลาด การหน่วงเวลาแบบสุ่มเอาชนะได้ดี
Frank Thomas

@ FrankThomas ฉันจะยอมรับอย่างง่ายดายว่าฉันไม่ได้ระบุความหมายของความพยายามซ้ำ ๆ ที่กล่าวว่ามีความล่าช้าจริงมากและเห็นได้ชัดในระบบรักษาความปลอดภัยหลายแห่งเมื่อให้ข้อมูลประจำตัวที่ไม่ถูกต้องป้องกันความพยายามเพิ่มเติมสำหรับระยะเวลาสั้น ๆ บางส่วน แต่มนุษย์รับรู้ได้ เนื่องจากเมื่อถึงจุดนั้นคุณสามารถเข้าถึงระบบแบบโต้ตอบได้แล้วการโจมตีจังหวะเวลาระดับไมโครวินาทีหรือมิลลิวินาทีในการเข้ารหัสแบบดั้งเดิมจะไม่นำมาใช้จริง
CVn

มีสิทธิ์นี้หรือไม่ คุณมีบทความหรืออะไรที่จะอ้างอิง?
rfportilla

@rfportilla "เผด็จการ"? ไม่ OP ถามถึงระบบปฏิบัติการที่แตกต่างกันสองถึงสามระบบสำหรับการเริ่มต้นหนึ่งในนั้นอาจมีแอปพลิเคชันระดับระบบจำนวนเท่าใดก็ได้ (ตัวจัดการการเข้าสู่ระบบตัวรักษาหน้าจอ ... ) พร้อมท์ให้ใส่รหัสผ่านและอีกสองตัวเป็นกรรมสิทธิ์ (ดังนั้นเราจึงไม่ทราบผลงานภายในของพวกเขา) เป็นไปไม่ได้ที่จะให้แหล่งข้อมูลที่มีสิทธิ์ครอบคลุมทั้งหมด หากคำถามได้รับ "ทำไม gdm3 ทำเช่นนี้?" อาจมีคำตอบที่เชื่อถือได้จริง แต่ก็ไม่เป็นเช่นนั้น
CVN
โดยการใช้ไซต์ของเรา หมายความว่าคุณได้อ่านและทำความเข้าใจนโยบายคุกกี้และนโยบายความเป็นส่วนตัวของเราแล้ว
Licensed under cc by-sa 3.0 with attribution required.