sudo: 3 tentatives de mot de passe incorrectes - la racine peut-elle voir le mot de passe en texte clair?
Si un utilisateur ne peut pas accéder à une commande avec Sudo 3 fois, cela doit être signalé à l'utilisateur root dans les journaux d'accès\erreurs ..
La racine peut-elle voir ces tentatives (comme les mots de passe essayés) dans le texte des journaux?
Non, les mots de passe ne sont pas enregistrés par défaut. Cela poserait un problème de sécurité, car les journaux pourraient être lus par d’autres administrateurs, ce qui permettrait l’emprunt d’identité de l’utilisateur en cas de mot de passe légèrement erroné.
Les tentatives de connexion réussies et infructueuses sont connectées
/var/log/auth.log
Exemple de tentative réussie:
Oct 23 21:24:01 schijfwereld Sudo: rinzwind : TTY=pts/0 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash
Oct 23 21:24:01 schijfwereld Sudo: pam_unix(Sudo:session): session opened for user root by (uid=0)
Et sans succès:
Oct 23 21:25:33 schijfwereld Sudo: pam_unix(Sudo:auth): authentication failure; logname= uid=1000 euid=0 tty=/dev/pts/1 ruser=rinzwind rhost= user=rinzwind
Oct 23 21:26:02 schijfwereld Sudo: rinzwind : 3 incorrect password attempts ; TTY=pts/1 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash
Il enregistre la tentative ayant échoué et enregistre également le total de 3 mots de passe mal saisis.
Les mots de passe pour les tentatives Sudo ne sont jamais affichés ni stockés.
La pratique habituelle est de ne pas enregistrer les mots de passe utilisés lors des tentatives de connexion, même si le mot de passe en question était invalide. Ceci est simplement dû au fait que le mot de passe peut être valide pour un autre utilisateur du même système (par exemple, l'utilisateur a mal entré son nom d'utilisateur , pas le mot de passe), ou peut-être une alternance triviale du mot de passe actuel (l'utilisateur a oublié une lettre).
L'un ou l'autre de ces cas laisserait un mot de passe en texte brut sur le système, vulnérable à une fuite d'informations. (Le mot de passe peut aussi être un mot de passe valide pour un autre système que celui sur lequel il a été entré, mais c'est vraiment un problème pour "eux", pas pour "nous".)
Un cas lié à cela est le cas où un utilisateur écrit son mot de passe à la place de son nom d'utilisateur (par exemple, il utilise généralement un système qui entre le nom d'utilisateur automatiquement, mais qui ne l'a pas encore fait, mais qui l'a toujours saisi en premier). Dans ce cas, vous auriez un mot de passe en texte brut dans les journaux. Ce n'est pas optimal, mais il est utile de voir les noms d'utilisateur pour les tentatives de connexion infructueuses habituelles, et il n'existe pas de solution simple pour les stocker mais pas les mots de passe saisis en tant que noms d'utilisateur.
Cela dit, rien n'empêche l'administrateur du système de faire en sorte que le système consigne également les mots de passe. L'ajout de la journalisation pourrait probablement être effectué en ajoutant un appel à syslog() et en recompilant le module PAM. (PAM étant ce que Ubuntu et Sudo utilisent, mais il en va de même pour les applications Web et tout le reste.)
Donc, non, en général, un administrateur ne peut pas voir les mots de passe entrés sur le système. mais Si vous entrez votre mot de passe sur un système auquel vous ne faites pas confiance, vous devriez, à proprement parler, le considérer comme perdu et changes le.
Plus généralement, très peu de programmes sous Unix enregistrent jamais les mots de passe réels dans syslog ou ailleurs - il n'y a presque jamais de bonne raison de le faire, et il y a raisons en règle pas à.
En raison de la manière dont les mots de passe sont hachés, le système ne peut pas faire la différence entre un mot de passe erroné et une faute de frappe. Si votre mot de passe était% $ zDF + 02G et que vous avez tapé% $ ZDF + 02G, vous échouerez aussi fort que cela Si vous tapiez 'rubberbabybuggybumpers', le fait de consigner le mot de passe ayant échoué donnerait des informations précieuses à un tiers malveillant lisant le journal.
Le seul cas dans lequel un programme a eu la possibilité de consigner des mots de passe (et un cas d'utilisation où ce serait une bonne idée) est dans RADIUS serveurs, où vous pouvez, dans un pincement, activer le mode de débogage avec plus d’informations que vous le souhaitiez probablement, puis ajouter explicitement l’indicateur signifiant 'oui, , y compris mots de passe, car un client ne parvient pas à se connecter et doit exclure absolument toutes les causes possibles ...