SSH ignoriert Zeichen nach der korrekten Kennwortzeichenfolge?

Question 1

Dies ist keine Einschränkung seitens Ihres SSH-Servers, sondern eine Einschränkung seitens des Kennwort-Hash-Algorithmus Ihres Servers.

Beim Hashen von Passwörtern unter Unix crypt()wird die Funktion aufgerufen. Dabei kann eines von vielen Backends verwendet werden, eine Möglichkeit ist die Verwendung von DES oder eines anderen Begrenzungsalgorithmus (in diesem speziellen Fall gehe ich davon aus, dass Ihr Server DES verwendet). DES wird in modernen Betriebssystemen im Allgemeinen nicht standardmäßig verwendet, da es zu einer besonders schlimmen Einschränkung führt: Die Passwortstärke und -validierung ist auf 8 Bytes begrenzt.

Das bedeutet, dass Ihr Passwort, wenn es als „foobarbaz“ festgelegt wurde, normalerweise ohne Warnung oder Hinweis zu „foobarba“ wird. Dieselbe Einschränkung gilt für die Validierung, was bedeutet, dass „foobarbaz“, „foobarba“ und „foobarbazqux“ in diesem speziellen Fall alle validiert werden.

Answer

Dies ist keine Einschränkung seitens Ihres SSH-Servers, sondern eine Einschränkung seitens des Kennwort-Hash-Algorithmus Ihres Servers.

Beim Hashen von Passwörtern unter Unix crypt()wird die Funktion aufgerufen. Dabei kann eines von vielen Backends verwendet werden, eine Möglichkeit ist die Verwendung von DES oder eines anderen Begrenzungsalgorithmus (in diesem speziellen Fall gehe ich davon aus, dass Ihr Server DES verwendet). DES wird in modernen Betriebssystemen im Allgemeinen nicht standardmäßig verwendet, da es zu einer besonders schlimmen Einschränkung führt: Die Passwortstärke und -validierung ist auf 8 Bytes begrenzt.

Das bedeutet, dass Ihr Passwort, wenn es als „foobarbaz“ festgelegt wurde, normalerweise ohne Warnung oder Hinweis zu „foobarba“ wird. Dieselbe Einschränkung gilt für die Validierung, was bedeutet, dass „foobarbaz“, „foobarba“ und „foobarbazqux“ in diesem speziellen Fall alle validiert werden.

Question 2

Ich vermute, Ihr Betriebssystem verwendet die DES-Kennwortverschlüsselung, die nur maximal 8 Zeichen unterstützt.

https://serverfault.com/questions/361591/ssh-accepts-only-the-half-password

Ausman crypt(3)

GNU-ERWEITERUNG

Die glibc2-Version dieser Funktion hat die folgenden zusätzlichen Funktionen. Wenn Salt eine Zeichenfolge ist, die mit den drei Zeichen „$1$“ beginnt, gefolgt von höchstens acht Zeichen und optional mit „$“ abgeschlossen, dann verwendet die glibc-Crypt-Funktion anstelle der DES-Maschine einen MD5-basierten Algorithmus und gibt bis zu 34 Bytes aus, nämlich „$1$<string>$“, wobei „<string>“ für die bis zu 8 Zeichen steht, die im Salt auf „$1$“ folgen, gefolgt von 22 Bytes, die aus der Menge [a–zA–Z0–9./] ausgewählt werden.
Der gesamte Schlüssel ist hier von Bedeutung (anstatt nur der ersten 8 Bytes).

Sie können Ihr PAM-Setup überprüfen, um festzustellen, ob Sie MD5 oder DES verwenden:

% egrep "password.*pam_unix.so" /etc/pam.d/system-auth
password    sufficient    pam_unix.so md5 shadow nis nullok try_first_pass use_authtok

Mit diesem Befehl können Sie auch bestätigen, welche Hash-Funktion Ihr System verwendet:

% authconfig --test | grep hashing
 password hashing algorithm is md5

Und Sie können in dieser Systemdatei sehen, /etc/shadowdass auch MD5 verwendet wird:

root:$1$<DELETED PASSWORD HASH>:14245:0:99999:7:::

/etc/shadowDie Codes, die Sie für die einzelnen Hash-Typen sehen :

1 USD – MD5
2 $ – Kugelfisch
$2a – eksblowfish
5 USD – SHA-256
6 USD – SHA-512

Sie können Ihr System mit diesem Befehl neu konfigurieren:

% authconfig --passalgo=sha512 --update

Alle vorhandenen Passwörter müssen neu generiert werden. Mit diesem Befehl können Sie Benutzer zwingen, sie bei der nächsten Anmeldung zurückzusetzen:

% chage -d 0 userName

Verweise

Answer