サーバーのユーザーの1人が、最初の8文字がユーザーの実際のパスワードと同じである任意のパスワードでログインできるという意味で、奇妙な問題が発生しています。たとえば、ユーザーの実際のパスワードがパスワードとしてabcdefghログインしている場合、または成功しているが、ではログインしていない場合。シャドウファイルでPAMを使用しています。問題のユーザーは/etc/ shadowファイルに自分のパスワードのハッシュを持っていますが、私が見る限り、それは塩を持っていません。abcdefghabcdefgh2002abcdefghijkl2001abcdefgh
自分のアカウントで試しましたが、ログインに成功しませんでした。
そのユーザーは古いcryptハッシュを持っています。ソルトされていますが、パスワードの最初の 8 文字のみを使用しています。
これは、ハッシュを調べることで確認できます。ハッシュ方式を示すマーカー/etc/shadowで始まらない場合は、最初の 8 文字のみを使用$n$する元の UNIXハッシュを使用しています。crypt詳細については、を参照crypt(3)してください。
彼がパスワードを変更すると、同じものであっても、システムのデフォルトとして設定されているハッシュを使用するように更新されます。これは通常、 のようなより最新で安全なものSHA512です。
ちなみに、これらの古いスタイルのハッシュでは、salt はハッシュの最初の 2 文字にすぎないため、ソルトがないと思っていました。新しいハッシュ$id$salt$encryptedはおそらく慣れ親しんでいるように見えますが、古いハッシュはわずか 13 文字で、最初の 2 つはソルトです。