Woher weiß Linux, dass ein neues Passwort dem alten ähnelt?

Wenn Sie jemals eine Nachricht erhalten haben, dass Ihr neues Kennwort Ihrem alten zu ähnlich ist, sind Sie vielleicht neugierig, wie Ihr Linux-System "weiß", dass es sich zu sehr ähnlich ist. Der heutige Q & A-Posting-Beitrag von SuperUser gibt einen Blick hinter den "magischen Vorhang", was für einen neugierigen Leser vorgeht.

Die heutige Question & Answer-Sitzung wird dank SuperUser zur Verfügung gestellt - einer Unterteilung von Stack Exchange, einer Community-basierten Gruppierung von Q & A-Websites.

Screenshot mit freundlicher Genehmigung von marc falardeau (Flickr).

Die Frage

SuperNutzer-Leser LeNoob möchte wissen, wie ein Linux-System "weiß", dass sich Passwörter zu ähnlich sind:

Ich habe ein paar Mal versucht, ein Benutzerpasswort auf verschiedenen Linux-Computern zu ändern. Als das neue Passwort dem alten sehr ähnlich war, sagte das Betriebssystem, es sei zu ähnlich.

Ich habe mich immer gefragt, woher weiß das Betriebssystem das? Ich dachte, Passwörter würden als Hash gespeichert. Bedeutet dies, dass, wenn das System das neue Kennwort auf Ähnlichkeit mit dem alten vergleicht, es tatsächlich als Nur-Text gespeichert wird?

Woher weiß ein Linux-System, dass sich Passwörter zu ähnlich sind?

Die Antwort

SuperUser-Mitwirkender slhck hat die Antwort für uns:

Da Sie bei der Verwendung von passwd sowohl das alte als auch das neue Kennwort eingeben müssen, können Sie diese einfach im Klartext vergleichen.

Ihr Passwort wird zwar in der Tat gespeichert, wenn es endgültig gespeichert ist, aber bis dies geschieht, kann das Tool, in das Sie Ihr Passwort eingeben, einfach direkt darauf zugreifen.

Dies ist eine Funktion des PAM-Systems, das im Hintergrund des passwd-Tools verwendet wird. PAM wird von modernen Linux-Distributionen verwendet. Insbesondere ist pam_cracklib ein Modul für PAM, mit dem es Passwörter aufgrund von Ähnlichkeiten und Schwächen zurückweisen kann.

Es sind nicht nur zu ähnliche Passwörter, die als unsicher betrachtet werden können. Der Quellcode enthält verschiedene Beispiele dafür, was geprüft werden kann, z. B. ob ein Kennwort ein Palindrom ist oder wie der Bearbeitungsabstand zwischen zwei Wörtern liegt. Die Idee ist, Passwörter gegen Wörterbuchangriffe resistenter zu machen.

Weitere Informationen finden Sie auf der Manpage pam_cracklib.

Lesen Sie sich den Rest der lebhaften Diskussion bei SuperUser über den unten verlinkten Themen-Thread durch.

Haben Sie der Erklärung etwas hinzuzufügen? Sound off in den Kommentaren. Möchten Sie mehr Antworten von anderen technisch versierten Stack Exchange-Benutzern lesen? Hier geht es zum vollständigen Diskussionsthread.