SSH ignora caracteres após a sequência de senha correta?

Question 1

Esta não é uma limitação por parte do seu servidor SSH, é uma limitação por parte do algoritmo de hash de senha do seu servidor.

Ao fazer hash de senhas no Unix, a crypt()função é chamada. Isso pode usar um dos muitos back-ends, uma possibilidade é usar DES ou outro algoritmo limitante (para este caso específico, assumirei que seu servidor está usando DES). DES geralmente não é usado por padrão em sistemas operacionais modernos porque resulta em uma limitação particularmente ruim: a força e a validação da senha são limitadas a 8 bytes.

Isso significa que se sua senha foi definida como “foobarbaz”, ela se tornará “foobarba”, geralmente sem aviso ou notificação. A mesma limitação se aplica à validação, o que significa que "foobarbaz", "foobarba" e "foobarbazqux" são válidos para este caso específico.

Answer

Esta não é uma limitação por parte do seu servidor SSH, é uma limitação por parte do algoritmo de hash de senha do seu servidor.

Ao fazer hash de senhas no Unix, a crypt()função é chamada. Isso pode usar um dos muitos back-ends, uma possibilidade é usar DES ou outro algoritmo limitante (para este caso específico, assumirei que seu servidor está usando DES). DES geralmente não é usado por padrão em sistemas operacionais modernos porque resulta em uma limitação particularmente ruim: a força e a validação da senha são limitadas a 8 bytes.

Isso significa que se sua senha foi definida como “foobarbaz”, ela se tornará “foobarba”, geralmente sem aviso ou notificação. A mesma limitação se aplica à validação, o que significa que "foobarbaz", "foobarba" e "foobarbazqux" são válidos para este caso específico.

Question 2

Suspeito que seu sistema operacional esteja usando criptografia de senha DES, que suporta apenas no máximo 8 caracteres.

https://serverfault.com/questions/361591/ssh-accepts-only-the-half-password

Deman crypt(3)

EXTENSÃO GNU

A versão glibc2 desta função possui os seguintes recursos adicionais. Se salt for uma sequência de caracteres começando com três caracteres "$1$" seguido por no máximo oito caracteres e opcionalmente terminado por "$", então, em vez de usar a máquina DES, a função glibc crypt usa um algoritmo baseado em MD5 e gera até 34 bytes, ou seja, "$1$<string>$", onde "<string>" representa até 8 caracteres após "$1$" no salt, seguido por 22 bytes escolhidos do conjunto [a–zA –Z0–9./].
A chave inteira é significativa aqui (em vez de apenas os primeiros 8 bytes).

Você pode verificar a configuração do pam para ver se está usando MD5 ou DES:

% egrep "password.*pam_unix.so" /etc/pam.d/system-auth
password    sufficient    pam_unix.so md5 shadow nis nullok try_first_pass use_authtok

Você também pode confirmar qual função de hash seu sistema está usando com este comando:

% authconfig --test | grep hashing
 password hashing algorithm is md5

E você pode ver neste /etc/shadowarquivo de sistema que ele também está usando MD5:

root:$1$<DELETED PASSWORD HASH>:14245:0:99999:7:::

Os códigos que você verá no /etc/shadowpara cada tipo de hash:

US$ 1 – MD5
$ 2 – baiacu
$ 2a – eksblowfish
US$ 5 – SHA-256
US$ 6 – SHA-512

Você pode reconfigurar seu sistema com este comando:

% authconfig --passalgo=sha512 --update

Quaisquer senhas existentes precisarão ser regeneradas. Você pode usar este comando para forçar os usuários a redefini-las na próxima vez que fizerem login:

% chage -d 0 userName

Referências

Answer