Когда Unix перестала хранить пароли в открытом виде?
Вы можете загрузить lsof и многие другие инструменты с открытым исходным кодом изhttp://hpux.connect.org.uk/
Я рекомендую вам сначала скачать depothelper:http://hpux.connect.org.uk/hppd/hpux/Sysadmin/depothelper-2.00/
Он позаботится о зависимостях и загрузит все пакеты, необходимые для определенного инструмента. Прочтите справку команды.
Чтобы узнать о ранней истории хранения паролей Unix, прочитайте книгу Роберта Морриса и Кена ТомпсонаБезопасность паролей :A Case History. Они объясняют, почему и как ранние системы Unix приобрели большинство функций, которые до сих пор считаются важными функциями хранения паролей (, но реализованы лучше ).
- Первые системы Unix хранили пароли в открытом виде. Unix Third Edition представила функцию
crypt, которая хэширует пароль. Он описывается как «шифрование», а не «хеширование», потому что современная криптографическая терминология еще не была установлена, и он использовал алгоритм шифрования, хотя и нетрадиционным способом. Вместо того, чтобы шифровать пароль с помощью ключа, который было бы тривиально отменить, когда у вас есть ключ (, который должен храниться в системе ), они используют пароль в качестве ключа. - Когда Unix переключился с более раннего шифра на тогдашний -современный DES , он также стал медленнее за счет многократных итераций DES. Я не знаю точно, когда это произошло :V6? V7?
- Простое хеширование пароля уязвимо для -многоцелевых атак :хешируйте все наиболее распространенные пароли раз и навсегда и ищите соответствие в таблице паролей. Включение соли в механизм хеширования, где каждая учетная запись имеет уникальную соль, побеждает этот предварительный расчет. Unix приобрел соль в седьмом издании в 1979 году .
- В 1970-х годах в Unix также появились правила сложности паролей, такие как минимальная длина.
Первоначально хэш пароля находился в общедоступном -читаемом файле /etc/passwd. Помещение хеша в отдельный файл /etc/shadow, к которому могли получить доступ только система (и системный администратор ), было одним из многих нововведений, пришедших от Sun, появившихся примерно в SunOS 4 в середине -1980-х годов.Он постепенно распространился на другие варианты Unix (, частично через сторонний теневой набор , чей потомок до сих пор используется в Linux )и не был доступен повсеместно до середины -1990-х или около того..
За прошедшие годы в алгоритм хеширования были внесены улучшения. Самым большим скачком стал алгоритм Поуля -Хеннинга Кампа -на основе MD5 в 1994 году, который заменил алгоритм на основе DES -на алгоритм с лучшим дизайном. Он снял ограничение на 8 символов пароля и 2 символа соли и увеличил медлительность. См. IEEE Разработка с использованием программного обеспечения с открытым исходным кодом , январь–февраль. 2004, с. 7–8 . Алгоритмы на основе SHA -2 -, которые сегодня являются стандартом де-факто, основаны на том же принципе, но с немного лучшим внутренним дизайном и, самое главное, с настраиваемым коэффициентом медлительности.
Согласно разделу История на странице Википедии passwd ,
Password shadowing first appeared in Unix systems with the development of SunOS in the mid-1980s,[10] System V Release 3.2 in 1988 and BSD4.3 Reno in 1990. But, vendors who had performed ports from earlier UNIX releases did not always include the new password shadowing features in their releases, leaving users of those systems exposed to password file attacks.
System administrators may also arrange for the storage of passwords in distributed databases such as NIS and LDAP, rather than in files on each connected system. In the case of NIS, the shadow password mechanism is often still used on the NIS servers; in other distributed mechanisms the problem of access to the various user authentication components is handled by the security mechanisms of the underlying data repository.
In 1987 the author of the original Shadow Password Suite, Julie Haugh, experienced a computer break-in and wrote the initial release of the Shadow Suite containing the login, passwd and su commands. The original release, written for the SCO Xenix operating system, quickly got ported to other platforms. The Shadow Suite was ported to Linux in 1992 one year after the original announcement of the Linux project, and was included in many early distributions, and continues to be included in many current Linux distributions.
У меня пока нет первоисточника, но согласно этому сообщению TrustedSec(акцент мой):
Early systems stored passwords in plaintext but eventually this was replaced by more secure forms of password storage. Robert Morris developed crypt based on the m-209 cipher machine and it appeared in Version 3 Unix, though Crypt was not used to store passwords until 6th Edition Unix (1974).
Согласно многочисленным источникам, Версия 3 UNIX была выпущена в феврале 1973 .
Из исходной статьи Томпсона и Морриса мы можем подтвердить, что изначально использовалось хранилище открытого текста:
The UNIX system was first implemented with a password file that contained the actual passwords of all the users, and for that reason the password file had to be heavily protected against being either read or written.
/etc/shadow появился в нескольких ветвях UNIX, как указано в других ответах.