sudo：3次错误的密码尝试-root能否以明文形式看到密码？

19

如果某些用户sudo3次无法访问某个命令，则应在访问日志\错误中将此命令报告给root用户。

root可以在日志文本中看到这些尝试（例如尝试输入的密码）吗？

sudo password security

— 成熟
source

4

内隐的假设：根本不是邪恶。如果您尝试登录时root已经很邪恶，那么所有选择都将关闭。

— 约书亚

在大多数系统上配置某些东西很简单，但它并不是我所知道的任何默认配置的一部分。

— PlasmaHH

2

强制性xkcd xkcd.com/838

— 乔

只是错误的尝试计数会报告给root。根根本看不到输入密码。

— Mohammad Kholghi

37

不，默认情况下不记录密码。这将是一个安全问题，因为其他管理员可能会读取日志，从而在密码输入错误的情况下冒充用户。

— 维达洛
source

28

登录尝试成功和失败

/var/log/auth.log

成功尝试的示例：

Oct 23 21:24:01 schijfwereld sudo: rinzwind : TTY=pts/0 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash
Oct 23 21:24:01 schijfwereld sudo: pam_unix(sudo:session): session opened for user root by (uid=0)

并且不成功：

Oct 23 21:25:33 schijfwereld sudo: pam_unix(sudo:auth): authentication failure; logname= uid=1000 euid=0 tty=/dev/pts/1 ruser=rinzwind rhost=  user=rinzwind
Oct 23 21:26:02 schijfwereld sudo: rinzwind : 3 incorrect password attempts ; TTY=pts/1 ; PWD=/home/rinzwind ; USER=root ; COMMAND=/bin/bash

它记录失败的尝试并记录总共3个错误键入的密码。

sudo尝试密码永远不会显示或存储。

— 林兹风
source

4

记录密码的唯一方法通常是在忘记了用户名后按Enter时。因此，您以“ Scott Tiger”身份登录，而不是使用密码为Tiger的用户Scott登录

— Lenne 18-10-24

但这不是sudo的错;-)

— Rinzwind

@Lenne发生在我身上时（或者否则，当我不注意输入密码而不是输入命令时），我从外壳程序历史记录中删除了有问题的行。

— Zanna

4

通常的做法是，即使有问题的密码无效，也不要记录登录尝试中使用的密码。这仅仅是因为该密码可能对同一系统上的另一个用户有效（例如，该用户输入了错误的用户名，而不是密码），或者可能是实际密码的小写替换（该用户错过了一个字母左右）。

这些情况中的任何一种都会在系统上留下纯文本密码，容易受到某些信息泄漏的影响。（该密码对于输入的其他系统来说也可能是其他系统的有效密码，但这实际上对“他们”而不是“我们”来说是一个更大的问题。）

与此相关的是用户写密码代替用户名的情况（例如，他们通常使用自动输入用户名的系统，但现在没有，但仍然首先输入密码）。在这种情况下，您将在日志中输入明文密码。这不是最佳选择，但是查看常见的失败登录尝试的用户名很有用，并且没有简单的解决方案来存储它们，但没有存储作为用户名输入的密码。

就是说，没有什么可以阻止系统管理员让系统记录密码。添加日志记录可能是通过添加一个调用syslog()并重新编译PAM模块来完成的。（PAM是Ubuntu所sudo使用的，但对于Web应用程序和其他所有内容同样适用。）

因此，不，通常管理员看不到在系统上输入的密码，但是，如果您在不信任的系统上输入密码，严格来说，应该考虑将其丢失并进行更改。

— 伊尔卡楚
source

0

更广泛地说，很 UNIX中少数的程序也登录真实密码进入系统日志或其他地方-有几乎从来没有一个很好的理由这样做，并有良好信誉的理由不来。

由于密码的哈希方式不同，系统无法分辨出错误密码和输入错误之间的区别-如果您的密码是％$ zDF + 02G且您键入了％$ ZDF + 02G，它将使您尽全力如果您键入“ rubberbabybuggybumpers”，则将失败，但记录失败的密码会将有价值的信息提供给恶意的第三方，以读取日志。

我发现一种情况是程序确实具有记录密码的能力（而用例则是个好主意）是在RADIUS服务器中，在这种情况下，您可以捏合打开更多信息而不是信息。您可能想要的调试模式，然后显式添加表示“是的，包括密码” 的标志，因为您的客户端连接失败，因此您必须排除所有可能的原因...

— 沙杜尔
source