Cyber ·
Desvio de autenticação por senha no OpenSSH com musl libc e contas bloqueadas
Resposta na lista oss-sec, traduzida automaticamente, que relata testes de tempo na autenticação por senha do OpenSSH com contas bloqueadas, comparando glibc com libxcrypt e musl. O texto recebido está truncado e não traz conclusões finais.
O item é uma resposta na lista de discussão oss-sec, com tradução automática, sobre testes de autenticação por senha no OpenSSH com contas bloqueadas. O autor usou OpenSSH 10.6p2 compilado sem PAM e um arquivo shadow sem senhas válidas, com contas marcadas como bloqueadas por formatos como asterisco, ponto de exclamação, duplo ponto de exclamação, LK e um hash yescrypt bloqueado. A autenticação por senha permaneceu habilitada. Foram feitas 60 amostras intercaladas por conta, medindo apenas o tempo da solicitação de autenticação, com glibc e libxcrypt e com musl. Os scripts e dados brutos são disponibilizados mediante solicitação. O texto recebido termina de forma truncada, portanto os resultados completos não aparecem no item.
A relevância está na pergunta central: se a diferença de tempo ocorre mesmo quando não há sal reutilizável. Diferenças assim podem interessar a administradores e pesquisadores de segurança. A Rota Nacional não corrige o OpenSSH nem as bibliotecas C e não oferece capacidade de análise de autenticação. Para estudar este material com IA, não cole saídas de shadow, hashes, nomes de usuário, endereços de servidor ou logs; use descrições genéricas. Antes de agir, consulte a fonte original na lista oss-sec e as notas de versão do fornecedor da sua distribuição.
Fonte original: Re: “sshole”: desvio da autenticação por senha no OpenSSH com musl libc