Tại sao máy tính phải trả lời mật khẩu không chính xác lâu hơn so với mật khẩu chính xác?
Bạn đã bao giờ nhập sai mật khẩu trên máy tính của mình một cách tình cờ và nhận thấy phải mất một vài phút để phản hồi so với nhập đúng mật khẩu? Tại sao vậy? Bài hỏi và trả lời của SuperUser hôm nay có câu trả lời cho câu hỏi của người đọc tò mò.
Phiên hỏi và trả lời hôm nay đến với chúng tôi nhờ sự hỗ trợ của SuperUser - một phân ngành của Stack Exchange, một nhóm các trang web Hỏi & Đáp do cộng đồng điều khiển.
Ảnh chụp màn hình lịch sự của sully213 (Flickr).
Câu hỏi
Người dùng SuperUser user3536548 muốn biết tại sao có thời gian phản hồi lâu hơn khi nhập mật khẩu không chính xác:
Khi bạn nhập mật khẩu và đúng, thời gian phản hồi thực tế là tức thời. Nhưng khi bạn nhập mật khẩu không chính xác (do vô tình hoặc quên mật khẩu chính xác), phải mất một lúc (10-30 giây) trước khi trả lời rằng mật khẩu không chính xác.
Tại sao phải mất quá lâu (tương đối) để nói rằng mật khẩu không chính xác? Điều này luôn làm tôi khó chịu khi nhập mật khẩu không chính xác trên các hệ thống Windows và Linux (thường xuyên và dựa trên VM). Tôi không chắc chắn về Mac OSX vì tôi không thể nhớ nếu nó giống nhau (đã được một thời gian kể từ lần cuối tôi sử dụng máy Mac).
Tôi đang hỏi trong bối cảnh người dùng đăng nhập vào hệ thống về mặt vật lý thay vì thông qua SSH, có thể sử dụng một số cơ chế khác nhau để đăng nhập (xác thực thông tin xác thực).
Tại sao có thời gian phản hồi lâu hơn khi bạn nhập mật khẩu không chính xác?
Câu trả lời
Người đóng góp cho SuperUser Michael Kjorling có câu trả lời cho chúng tôi:
Tại sao phải mất quá lâu (tương đối) để nói rằng mật khẩu không chính xác?
Nó không. Hay đúng hơn, nó không mất máy tính nữa để xác định rằng mật khẩu của bạn không chính xác so với mật khẩu là chính xác. Các công việc liên quan đến máy tính là, lý tưởng, chính xác như nhau. Bất kỳ lược đồ xác minh mật khẩu nào mất một khoảng thời gian khác nhau dựa trên việc mật khẩu đúng hay sai có thể được khai thác để thu thập kiến thức, tuy nhiên, mật khẩu nhỏ trong thời gian ngắn hơn so với trường hợp khác.
Độ trễ là độ trễ giả tạo để liên tục cố gắng truy cập bằng cách sử dụng các mật khẩu khác nhau, ngay cả khi bạn có ý tưởng về mật khẩu là gì và khóa tài khoản tự động bị vô hiệu hóa (điều này sẽ xảy ra trong hầu hết các trường hợp vì nó sẽ cho phép một sự từ chối dịch vụ tầm thường đối với một tài khoản tùy tiện).
Thuật ngữ chung cho hành vi này là tarpits. Trong khi bài viết Wikipedia nói nhiều hơn về việc khai thác dịch vụ mạng, khái niệm này là chung chung. Điều cũ mới cũng không phải là một nguồn chính thức, nhưng bài viết Tại sao lại mất nhiều thời gian hơn để từ chối một mật khẩu không hợp lệ hơn là chấp nhận một mật khẩu hợp lệ? Không nói về điều này (gần cuối bài viết).
Có một cái gì đó để thêm vào lời giải thích? Tắt âm thanh trong các ý kiến. Bạn muốn đọc thêm câu trả lời từ những người dùng Stack Exchange am hiểu công nghệ khác? Kiểm tra chủ đề thảo luận đầy đủ ở đây.
