Cyber ·
OpenSSH com musl libc: medições de crypt() e temporização na autenticação por senha
Segundo o texto, um autor publicou na lista oss-sec, em 6 de novembro de 2026, medições dos valores retornados por crypt() em falha e dos tempos de autenticação por senha no OpenSSH com glibc/libxcrypt e com musl. O trecho recebido é parcial e não inclui resultados.
O autor diz que investigaria duas questões ainda em debate na discussão: o que crypt() retorna quando falha em cada implementação, e a questão de temporização levantada por Jeff. Afirma ter medido ambas em suas próprias máquinas.
Os ambientes citados são OpenSSH 10.6p2 compilado com --without-pam; glibc 2.39 com libxcrypt 4.4.36 no Ubuntu 24.04; e musl 1.2.5 no Alpine 3.21. Os scripts de teste e os dados brutos são informados como disponíveis mediante solicitação. O texto recebido é interrompido antes dos resultados, por isso este boletim não relata conclusões.
A relevância está no tema de autenticação e de bibliotecas do sistema, e não em um recurso da Rota Nacional. A plataforma não corrige nem avalia essa questão de engenharia. Para verificar, consulte o arquivo público da lista oss-sec pelo título da thread e confira a data e o conteúdo completo antes de citar qualquer resultado.
Se usar IA para estudar o material, não cole configurações de servidor, nomes de host, chaves, logs ou credenciais. Use apenas trechos públicos e sanitizados.
Fonte original: Re: “sshole”: desvio da autenticação por senha no OpenSSH com musl libc