Mots de passe Palindrome non autorisés - pourquoi?

J'ai essayé de changer un mot de passe Linux en "sitonapotatopanotis" et j'ai eu cette erreur: BAD PASSWORD: is a palindrome

Pourquoi cette règle existe-t-elle?

Le manpagefor pam_cracklib(responsable de la vérification de la force du mot de passe) ne précise pas pourquoi cela est fait:

   The strength checks works in the following manner: at first the Cracklib routine is
   called to check if the password is part of a dictionary; if this is not the case an
   additional set of strength checks is done. These checks are:

   Palindrome
       Is the new password a palindrome?

Cependant, il n’est pas difficile d’imaginer qu’il existe des logiciels de piratage des mots de passe qui tentent les palindromes.

Je ne recommanderais pas l’utilisation d’un tel mot de passe, mais c’est à vous d’évaluer les compromis de sécurité que vous êtes en mesure de faire (vous pouvez utiliser sudoun rootcompte pour changer le mot de passe et cela vous permettra de le changer comme vous le souhaitez).

Parce qu'un mot de passe palindromique de 20 caractères est aussi sécurisé qu'un mot de passe de 10 caractères - il n'y a pratiquement pas d'entropie supplémentaire dans les 10 derniers caractères. Donc, vous obtenez un faux sentiment de sécurité d'avoir un mot de passe long.

Les gens sont tout simplement plus susceptibles de choisir "racecar" comme mot de passe, car ils l' aiment bien. Donc, ces mots sont en haut de toutes les listes de mots (qui sont utilisés avant toute force brute). Et il est plus simple de vérifier tous les palindromes que de conserver une liste des palindromes dans la bibliothèque de vérification du mot de passe.

Certains mots de passe sont bons et d'autres vraiment mauvais.
Nous utilisons certains facteurs pour juger de la qualité d'un mot de passe. Comme la longueur ou quels sont les différents caractères utilisés.

Pour certains mots de passe, ces facteurs deviennent moins pertinents ou pas du tout pertinents.

Comme, c'est un bon mot de passe:

v10H73nqMQPkbUvTLOPyKBg4KnkUjWgF

Celui-ci, pas tellement:

acbaacbacaabcabbbaaabcaccbbbaaac

Même s'il a la même longueur, si les mêmes règles de mot de passe s'appliquent et que vous le forcez brutalement, le second mot de passe sera essayé beaucoup plus tôt que le premier.

Jetons un coup d'oeil à celui-ci:

qwertyuiopasdfghjklzxcvbnm123456

Maintenant, nous roulons avec un mot de passe sérieux! Seulement, c'est presque le pire mot de passe possible de tous les temps car toutes les lettres sont utilisées dans le même motif, comme elles apparaissent sur un type de clavier très populaire.

Quelqu'un peut regarder ce mot de passe et le trouver génial parce qu'il le choisit sous de fausses hypothèses (la longueur étant le plus important pour un mot de passe).

La même chose pourrait être dite pour les palindromes. Tout d’abord, ils donnent un faux sentiment de sécurité (comme le note Mike) parce que leur longueur est augmentée simplement en dupliquant toutes les lettres. Mais le vrai problème avec eux, c’est qu’ils sont faciles à retenir et en quelque sorte une marchandise.

Le moyen le plus simple de définir des mots de passe triviaux, même s’il s’agit d’un seul caractère, c’est en utilisant l’utilisateur root pour définir le mot de passe.