Quería cambiar mi contraseña en una máquina Unix. Hice un "passwd" normal y escribí mi contraseña anterior y la nueva.
Entonces la máquina volvió a mí con el siguiente mensaje:
BAD PASSWORD: is too similar to the old one
Eso me hizo pensar ... ¿Eso significa que la máquina tiene mi contraseña en texto claro en alguna parte? De lo contrario, no debería poder comparar la contraseña antigua y la nueva, ¿verdad? ¿O hay una función hash que lo habilita?
OK, así que seguí la sugerencia de Michael Hampton y fui y miré el código de pam_cracklib.c y parece que pam_cracklib obtiene la contraseña antigua (también conocida como actual) del PAM a través de una llamada de función (que considero totalmente correcta, ya que Acabo de ingresar esa contraseña actual para autenticar) y luego realizo un análisis de similitud (función de distancia) entre esa contraseña anterior y la nueva que acabo de ingresar.
Pero no hace este análisis para todas las contraseñas antiguas de su historia. Eso no sería posible, porque solo se almacenan como hashes. Para ellos solo puede haber un cheque si son iguales. Así que todo parece estar en orden, como esperaba, pero ahora entiendo por qué está ... gracias a todos.
Sus viejas contraseñas no se almacenan en texto sin formato.
En cambio, sus antiguos hashes de contraseña son almacenados /etc/security/opasswdpor PAM. Luego realiza la comparación cuando va a cambiar su contraseña, en función de lo que se ha especificado en la configuración de PAM.
Un ejemplo de configuración PAM:
password required pam_unix.so sha512 remember=12 use_authtok
Aquí, rememberhace que recuerde 12 contraseñas anteriores.
Para obtener más detalles, consulte Seguridad de contraseña de Linux con pam_cracklib .
Algunos sistemas pueden almacenar / calcular la entropía (complejidad de la contraseña) y compararlos, no sé si es el caso de PAM.
fuente