SSH 忽略正確密碼字串後的字元？

Question 1

這不是 SSH 伺服器的限制，而是伺服器的密碼雜湊演算法的限制。

在 Unix 上對密碼進行雜湊處理時，crypt()會呼叫函數。這可能使用許多後端之一，可能使用 DES 或其他限制演算法（對於這種特殊情況，我假設您的伺服器正在使用 DES）。現代作業系統中通常不預設使用 DES，因為它會導致一個特別糟糕的限制：密碼強度和驗證僅限於 8 個位元組。

這意味著，如果您的密碼設定為“foobarbaz”，它就會變成“foobarba”，通常不會出現警告或通知。同樣的限制也適用於驗證，這意味著「foobarbaz」、「foobarba」和「foobarbazqux」都針對此特定情況進行驗證。

Answer

這不是 SSH 伺服器的限制，而是伺服器的密碼雜湊演算法的限制。

在 Unix 上對密碼進行雜湊處理時，crypt()會呼叫函數。這可能使用許多後端之一，可能使用 DES 或其他限制演算法（對於這種特殊情況，我假設您的伺服器正在使用 DES）。現代作業系統中通常不預設使用 DES，因為它會導致一個特別糟糕的限制：密碼強度和驗證僅限於 8 個位元組。

這意味著，如果您的密碼設定為“foobarbaz”，它就會變成“foobarba”，通常不會出現警告或通知。同樣的限制也適用於驗證，這意味著「foobarbaz」、「foobarba」和「foobarbazqux」都針對此特定情況進行驗證。

Question 2

我懷疑你的作業系統使用的是 DES 密碼加密，它最多只支援 8 個字元。

https://serverfault.com/questions/361591/ssh-accepts-only-the-half-password

從man crypt(3)

GNU 擴充

函數的 glibc2 版本具有以下附加功能。如果salt 是以三個字符“$1$”開頭的字串，後面跟著最多八個字符，並且可選地以“$”結尾，則glibc crypt 函數不使用DES 機器，而是使用基於MD5 的演算法，並且輸出最多34 個字節，即“$1$<string>$”，其中“<string>”代表鹽中“$1$”之後最多8 個字符，後面是從集合[a–zA 中選擇的22 個位元組–Z0–9./]。
整個金鑰在這裡都很重要（而不僅僅是前 8 個位元組）。

您可以檢查您的 pam 設置，看看您使用的是 MD5 還是 DES：

% egrep "password.*pam_unix.so" /etc/pam.d/system-auth
password    sufficient    pam_unix.so md5 shadow nis nullok try_first_pass use_authtok

您也可以使用以下命令確認您的系統正在使用哪個雜湊函數：

% authconfig --test | grep hashing
 password hashing algorithm is md5

您可以在這個系統/etc/shadow檔案中看到它也使用 MD5：

root:$1$<DELETED PASSWORD HASH>:14245:0:99999:7:::

/etc/shadow您將在每種類型的雜湊中看到的程式碼：

1 美元 – MD5
$2 – 河豚
$2a – eksblowfish
5 美元 – SHA-256
6 美元 – SHA-512

您可以使用以下命令重新配置系統：

% authconfig --passalgo=sha512 --update

任何現有密碼都需要重新生成，您可以使用此命令強制使用者在下次登入時重設它們：

% chage -d 0 userName

參考

Answer