Linuxでは、パスワードハッシュの6番目の文字は何ですか？なぜ通常スラッシュですか？

Question 1

ハッシュ形式とソース

パスワードハッシュの形式はSHA-256ベースのハッシュです$<type>$<salt>$<hash>。<type> 5Saltは通常長さが8文字以上であるため（質問の例では）、6番目の文字はSaltの一部です。

このハッシュは、おそらく次のバージョンによって生成されたでしょう。シャドウツールキット(ソースパッケージshadowDebian ではshadow-utilsCentOSで）

コードがスラッシュに向かって偏った理由が正確に何であるかを調べようとしています。（元のコードを掘り下げた@thrigに感謝します。）

要約： ちょっと面白いですが大丈夫です。

塩を生成するコード

ループで呼び出される関数をlibmisc/salt.c見つけます。gensaltl64a

strcat (salt, l64a (random()));
do {
       strcat (salt, l64a (random()));
} while (strlen (salt) < salt_size);

ループはそれから任意の数を取り、random()文字列の一部に変換し、ソルトを形成する文字列に接続します。十分な文字が収集されるまで繰り返します。

しかし、起こったことはl64aはるかに興味深かったです。内部ループは（から）入力値に基づいてrandom()一度に1文字を生成します。

for (i = 0; value != 0 && i < 6; i++) {
    digit = value & 0x3f;

    if (digit < 2) {
        *s = digit + '.';
    } else if (digit < 12) {
        *s = digit + '0' - 2;
    } else if (digit < 38) {
        *s = digit + 'A' - 12;
    } else {
        *s = digit + 'a' - 38;
    }

    value >>= 6;
    s++;
}

ループ（digit = value & 0x3f）の最初の行は入力値から6ビットを選択し、句はifこれらの値で構成される値を文字に変換します。 ( .0、1、2/など0)

l64aa を許可しますlongが、出力値は glibc で 2147483647 または 2^31 - 1 に見えるようにrandom()制限されます。RAND_MAXしたがって、送信される値l64aは31ビット乱数です。一度に6ビットまたは31ビットの値を使用すると、合理的に均等な間隔の5文字とわずか1ビットから6番目の文字を取得できます。

ただし、生成された最後の文字はループにも条件があるため、l64aaにすることはできません。aは6番目の文字ではなく、5文字だけを返します。したがって、半分の場合、6番目の文字はで、残りの半分は5文字以下を返します。後者の場合、後続の文字も最初の位置にスラッシュを生成できるため、ソルト全体の6番目の文字は半分以上のスラッシュでなければなりません。.value != 0.l64a/l64al64a

コードには、ソルトの長さ（8〜16バイト）をランダムに指定する機能もあります。スラッシュ文字の同じバイアスは追加の呼び出しでも発生するため、l64a11番目と12番目の文字でも他の文字よりもスラッシュが頻繁に使用されます。問題に示された100個のソルトには、6番目の位置に46個のスラッシュがあり、11番目と12番目の位置にそれぞれ13個と15個のスラッシュがあります。（ソルトの半分未満が11文字未満です。）

Debian で

Debian では、chpasswd質問に示した直線でこれを再現することはできません。ただし、chpasswd -c SHA256同じ動作を示します。マニュアルによると、デフォルトの操作（なし-c）はPAMがハッシュを処理するようにすることであるため、DebianのPAMは少なくとも他のコードを使用してソルトを生成します。しかし、私はどのディストリビューションでもPAMコードを見ていません。

（この回答の以前のバージョンでは、この効果はDebianには現れないと述べました。これは正しくありません。）

塩の意味と要件

しかし、それは重要ですか？ @RemcoGerlichが述べたように、これはコーディングの問題です。ソルトの一部のビットをゼロに効果的に変更しますが、そのビットのソースがinへの呼び出しであるsrandomため、この場合は大きな影響はありませんseedRNG。

srandom (tv.tv_sec ^ tv.tv_usec ^ getpid ());

これは、現時点でRNGを種付けする古代の慣習の変形です。（tv_secそして実行中のプロセスの場合、プロセスIDを提供するtv_usec現在の時間の秒とマイクロ秒ですgetpid()。）時間とPIDは予測不可能ではありません。

時間とPIDはあなたが作りたいものではありません鍵しかし、塩では予測できません。塩類〜しなければならない単一の計算で複数のパスワードハッシュの無差別代入テストを防ぐことは異なりますが、しなければならないまた、予測不可能なターゲット事前計算を防止したり、速度を遅くしたりすることで、パスワードハッシュを取得するのに実際のパスワードを取得するのにかかる時間を短縮することができます。

マイナーな問題があっても、アルゴリズムが異なるパスワードに対して同じソルトを生成しない限り、問題ありません。質問のリストからわかるように、ループから数十を生成しても機能しないようです。

また、問題のコードはパスワードソルト生成以外の目的には使用されないため、他の場所では問題には影響しません。

塩については、以下を参照してください。これはスタックオーバーフローにありますそしてセキュリティについて。 SE。

結論として

結論は、システムに問題がないということです。パスワードが良好で無関係なシステムで使用されていないことを確認することは、考慮する価値がある以上のものです。

Answer

ハッシュ形式とソース

パスワードハッシュの形式はSHA-256ベースのハッシュです$<type>$<salt>$<hash>。<type> 5Saltは通常長さが8文字以上であるため（質問の例では）、6番目の文字はSaltの一部です。

このハッシュは、おそらく次のバージョンによって生成されたでしょう。シャドウツールキット(ソースパッケージshadowDebian ではshadow-utilsCentOSで）

コードがスラッシュに向かって偏った理由が正確に何であるかを調べようとしています。（元のコードを掘り下げた@thrigに感謝します。）

要約： ちょっと面白いですが大丈夫です。

塩を生成するコード

ループで呼び出される関数をlibmisc/salt.c見つけます。gensaltl64a

strcat (salt, l64a (random()));
do {
       strcat (salt, l64a (random()));
} while (strlen (salt) < salt_size);

ループはそれから任意の数を取り、random()文字列の一部に変換し、ソルトを形成する文字列に接続します。十分な文字が収集されるまで繰り返します。

しかし、起こったことはl64aはるかに興味深かったです。内部ループは（から）入力値に基づいてrandom()一度に1文字を生成します。

for (i = 0; value != 0 && i < 6; i++) {
    digit = value & 0x3f;

    if (digit < 2) {
        *s = digit + '.';
    } else if (digit < 12) {
        *s = digit + '0' - 2;
    } else if (digit < 38) {
        *s = digit + 'A' - 12;
    } else {
        *s = digit + 'a' - 38;
    }

    value >>= 6;
    s++;
}

ループ（digit = value & 0x3f）の最初の行は入力値から6ビットを選択し、句はifこれらの値で構成される値を文字に変換します。 ( .0、1、2/など0)

l64aa を許可しますlongが、出力値は glibc で 2147483647 または 2^31 - 1 に見えるようにrandom()制限されます。RAND_MAXしたがって、送信される値l64aは31ビット乱数です。一度に6ビットまたは31ビットの値を使用すると、合理的に均等な間隔の5文字とわずか1ビットから6番目の文字を取得できます。

ただし、生成された最後の文字はループにも条件があるため、l64aaにすることはできません。aは6番目の文字ではなく、5文字だけを返します。したがって、半分の場合、6番目の文字はで、残りの半分は5文字以下を返します。後者の場合、後続の文字も最初の位置にスラッシュを生成できるため、ソルト全体の6番目の文字は半分以上のスラッシュでなければなりません。.value != 0.l64a/l64al64a

コードには、ソルトの長さ（8〜16バイト）をランダムに指定する機能もあります。スラッシュ文字の同じバイアスは追加の呼び出しでも発生するため、l64a11番目と12番目の文字でも他の文字よりもスラッシュが頻繁に使用されます。問題に示された100個のソルトには、6番目の位置に46個のスラッシュがあり、11番目と12番目の位置にそれぞれ13個と15個のスラッシュがあります。（ソルトの半分未満が11文字未満です。）

Debian で

Debian では、chpasswd質問に示した直線でこれを再現することはできません。ただし、chpasswd -c SHA256同じ動作を示します。マニュアルによると、デフォルトの操作（なし-c）はPAMがハッシュを処理するようにすることであるため、DebianのPAMは少なくとも他のコードを使用してソルトを生成します。しかし、私はどのディストリビューションでもPAMコードを見ていません。

（この回答の以前のバージョンでは、この効果はDebianには現れないと述べました。これは正しくありません。）

塩の意味と要件

しかし、それは重要ですか？ @RemcoGerlichが述べたように、これはコーディングの問題です。ソルトの一部のビットをゼロに効果的に変更しますが、そのビットのソースがinへの呼び出しであるsrandomため、この場合は大きな影響はありませんseedRNG。

srandom (tv.tv_sec ^ tv.tv_usec ^ getpid ());

これは、現時点でRNGを種付けする古代の慣習の変形です。（tv_secそして実行中のプロセスの場合、プロセスIDを提供するtv_usec現在の時間の秒とマイクロ秒ですgetpid()。）時間とPIDは予測不可能ではありません。

時間とPIDはあなたが作りたいものではありません鍵しかし、塩では予測できません。塩類〜しなければならない単一の計算で複数のパスワードハッシュの無差別代入テストを防ぐことは異なりますが、しなければならないまた、予測不可能なターゲット事前計算を防止したり、速度を遅くしたりすることで、パスワードハッシュを取得するのに実際のパスワードを取得するのにかかる時間を短縮することができます。

マイナーな問題があっても、アルゴリズムが異なるパスワードに対して同じソルトを生成しない限り、問題ありません。質問のリストからわかるように、ループから数十を生成しても機能しないようです。

また、問題のコードはパスワードソルト生成以外の目的には使用されないため、他の場所では問題には影響しません。

塩については、以下を参照してください。これはスタックオーバーフローにありますそしてセキュリティについて。 SE。

結論として

結論は、システムに問題がないということです。パスワードが良好で無関係なシステムで使用されていないことを確認することは、考慮する価値がある以上のものです。

Question 2

マニュアルによると、この文字はソルトの一部ですcrypt(3)。ソルトの長さ（ $5$ IDとそれに続く文字列$）が表示されているハッシュ値によって異なります。

一方、/ はい（102インスタンス）でより一般的ですみんな塩の特定キャラクターは他の可能なキャラクター（約18個）に比べてchpasswd塩の該当キャラクターを好むようです。

for x in `seq 1 100000`; do
  echo testacct:asdfasdfasdf | chpasswd -c SHA256
  awk -F: '/testacct/{print $2}' /etc/shadow | awk -F\$ '{print $3}' >> salts
done
perl -nle 'print for m/(.)/g' salts | sort | uniq -c | sort -nr | head -5

RedHat EL 6システムで実行すると、以下が表示されます。

はい、のコードには辞書攻撃をより簡単にするバイアスがありますshadow-utils-4.1.5.1-5.el6。/

#include <sys/time.h>

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

// these next two borrowed from libmisc/salt.c of shadow-4.1.5.1 from
// Centos 6.8 RPM at http://vault.centos.org/6.8/os/Source/SPackages/shadow-utils-4.1.5.1-5.el6.src.rpm
char *l64a(long value)
{
    static char buf[8];
    char *s = buf;
    int digit;
    int i;

    if (value < 0) {
        abort();
    }

    for (i = 0; value != 0 && i < 6; i++) {
        digit = value & 0x3f;

        if (digit < 2) {
            *s = digit + '.';
        } else if (digit < 12) {
            *s = digit + '0' - 2;
        } else if (digit < 38) {
            *s = digit + 'A' - 12;
        } else {
            *s = digit + 'a' - 38;
        }

        value >>= 6;
        s++;
    }

    *s = '\0';

    return (buf);
}

static void seedRNG(void)
{
    struct timeval tv;
    static int seeded = 0;

    if (0 == seeded) {
        (void) gettimeofday(&tv, NULL);
        srandom(tv.tv_sec ^ tv.tv_usec ^ getpid());
        seeded = 1;
    }
}

int main(void)
{
    seedRNG();
    for (int x = 0; x < 1000; x++) {
        printf("%s\n", l64a(random()));
    }

    exit(0);
}

結果:

% ./salttest | perl -nle 'print for m/(.)/g' | sort | uniq -c | sort -nr | head -3
 593 /
  96 8
  93 3

次に、最新の同じルーチンを使用します。https://github.com/shadow-maint/shadow/blob/master/libmisc/salt.c私たちは偏見がまだ存在することを発見しました/。だから、はい、これはパッチする必要があるバグなので、理想的には、/ソルト文字が同じ重みを持つ必要があるため、あまり好まれません。

Answer

マニュアルによると、この文字はソルトの一部ですcrypt(3)。ソルトの長さ（ $5$ IDとそれに続く文字列$）が表示されているハッシュ値によって異なります。

一方、/ はい（102インスタンス）でより一般的ですみんな塩の特定キャラクターは他の可能なキャラクター（約18個）に比べてchpasswd塩の該当キャラクターを好むようです。

for x in `seq 1 100000`; do
  echo testacct:asdfasdfasdf | chpasswd -c SHA256
  awk -F: '/testacct/{print $2}' /etc/shadow | awk -F\$ '{print $3}' >> salts
done
perl -nle 'print for m/(.)/g' salts | sort | uniq -c | sort -nr | head -5

RedHat EL 6システムで実行すると、以下が表示されます。

はい、のコードには辞書攻撃をより簡単にするバイアスがありますshadow-utils-4.1.5.1-5.el6。/

#include <sys/time.h>

#include <stdio.h>
#include <stdlib.h>
#include <string.h>
#include <unistd.h>

// these next two borrowed from libmisc/salt.c of shadow-4.1.5.1 from
// Centos 6.8 RPM at http://vault.centos.org/6.8/os/Source/SPackages/shadow-utils-4.1.5.1-5.el6.src.rpm
char *l64a(long value)
{
    static char buf[8];
    char *s = buf;
    int digit;
    int i;

    if (value < 0) {
        abort();
    }

    for (i = 0; value != 0 && i < 6; i++) {
        digit = value & 0x3f;

        if (digit < 2) {
            *s = digit + '.';
        } else if (digit < 12) {
            *s = digit + '0' - 2;
        } else if (digit < 38) {
            *s = digit + 'A' - 12;
        } else {
            *s = digit + 'a' - 38;
        }

        value >>= 6;
        s++;
    }

    *s = '\0';

    return (buf);
}

static void seedRNG(void)
{
    struct timeval tv;
    static int seeded = 0;

    if (0 == seeded) {
        (void) gettimeofday(&tv, NULL);
        srandom(tv.tv_sec ^ tv.tv_usec ^ getpid());
        seeded = 1;
    }
}

int main(void)
{
    seedRNG();
    for (int x = 0; x < 1000; x++) {
        printf("%s\n", l64a(random()));
    }

    exit(0);
}

結果:

% ./salttest | perl -nle 'print for m/(.)/g' | sort | uniq -c | sort -nr | head -3
 593 /
  96 8
  93 3

次に、最新の同じルーチンを使用します。https://github.com/shadow-maint/shadow/blob/master/libmisc/salt.c私たちは偏見がまだ存在することを発見しました/。だから、はい、これはパッチする必要があるバグなので、理想的には、/ソルト文字が同じ重みを持つ必要があるため、あまり好まれません。

Question 3

mkpasswd(1)のフロントエンドかもしれませんが、CentOSの「shadow-utils」パッケージとDebianの「passwd」パッケージの一部であるものをcrypt(3)実行するのとは異なります。chpasswd(1)代わりに、リンゴをリンゴと比較する必要があります。次のスクリプトを考えてみましょう。

#!/bin/bash

# This repeatedly changes a `saltuser' password
# and grabs the salt out of /etc/shadow.
# Requires root and the existence of `saltuser' user.

if [ $EUID -ne 0 ]; then
    echo "This script requires root access to read /etc/shadow."
    exit 1
fi

grep -q saltuser /etc/passwd

if [ $? -ne 0 ]; then
    echo "This script requires the 'saltuser' to be present."
    exit 2
fi

: > /tmp/salts.txt

for i in {1..1000}; do
    PW=$(tr -cd '[[:print:]]' < /dev/urandom | head -c 64)
    echo "saltuser:${PW}" | chpasswd -c SHA256 -s 0 2> /dev/urandom
    awk -F '$' '/^saltuser/ {print $3}' /etc/shadow >> /tmp/salts.txt
done

while read LINE; do
    # 6th character in the salt
    echo ${LINE:5:1}
done < /tmp/salts.txt | sort | uniq -c | sort -rn

Debian Sidの出力：

CentOS 7出力：

したがって、この問題はCentOSに限定されていませんが、両方のプロジェクトが存在するアップストリームで発生する可能性が高くなります。

Answer

mkpasswd(1)のフロントエンドかもしれませんが、CentOSの「shadow-utils」パッケージとDebianの「passwd」パッケージの一部であるものをcrypt(3)実行するのとは異なります。chpasswd(1)代わりに、リンゴをリンゴと比較する必要があります。次のスクリプトを考えてみましょう。

#!/bin/bash

# This repeatedly changes a `saltuser' password
# and grabs the salt out of /etc/shadow.
# Requires root and the existence of `saltuser' user.

if [ $EUID -ne 0 ]; then
    echo "This script requires root access to read /etc/shadow."
    exit 1
fi

grep -q saltuser /etc/passwd

if [ $? -ne 0 ]; then
    echo "This script requires the 'saltuser' to be present."
    exit 2
fi

: > /tmp/salts.txt

for i in {1..1000}; do
    PW=$(tr -cd '[[:print:]]' < /dev/urandom | head -c 64)
    echo "saltuser:${PW}" | chpasswd -c SHA256 -s 0 2> /dev/urandom
    awk -F '$' '/^saltuser/ {print $3}' /etc/shadow >> /tmp/salts.txt
done

while read LINE; do
    # 6th character in the salt
    echo ${LINE:5:1}
done < /tmp/salts.txt | sort | uniq -c | sort -rn

Debian Sidの出力：

CentOS 7出力：

したがって、この問題はCentOSに限定されていませんが、両方のプロジェクトが存在するアップストリームで発生する可能性が高くなります。

Linuxでは、パスワードハッシュの6番目の文字は何ですか？なぜ通常スラッシュですか？

答え1

ハッシュ形式とソース

塩を生成するコード

Debian で

塩の意味と要件

結論として

答え2

答え3

関連情報