Permitiendo el inicio de sesión raíz, pero negando cualquier inicio de sesión real

2

Un amigo me contó hace unos meses acerca de una auditoría en la que descubrió que los inicios de sesión de root estaban habilitados a través de SSH. Obviamente, esto terminó en el informe, pero cuando se le preguntó, el administrador le dijo que había configurado SSHD para permitir los intentos de inicio de sesión de root, pero que en realidad no los comprobó, y simplemente reclamar la contraseña es incorrecto, como una especie de honeypot.

¿Cómo es esto posible? Una lectura de los documentos de sshd no muestra una manera obvia de hacer tal cosa.

    
pregunta 04.01.2015 - 21:45
fuente

1 respuesta

6

Es fácil crear un hash de contraseña que no coincida con ninguna contraseña. Una de las muchas formas de lograr esto sería almacenar un valor de hash junto con una sal diferente de la que se calculó. Un hash de contraseña construido de esa manera nunca coincidirá con una contraseña real a menos que haya creado una colisión en el hash subyacente.

Independientemente del método utilizado para construir un hash de contraseña, el resultado es el mismo. La cuenta parecerá tener una contraseña (para cualquier programa con acceso para verificar esto), pero independientemente de la contraseña ingresada, será rechazada.

Si este enfoque es una buena idea es un asunto diferente. Preferiría que sshd simplemente rechace los inicios de sesión de contraseña por completo.

    
respondido por el kasperd 04.01.2015 - 22:00
fuente

Lea otras preguntas en las etiquetas