password security breach

[ivo]

Het is eigenlijk heel slecht dat bij de grafische login elke keer een balletje wordt
getoond voor elk teken dat je typt. Het betekent dat iemand kan zien hoe lang jouw
wachtwoord is en dat die persoon bij een hacker poging alle wachtwoorden die een andere
lengte hebben, al bij voorbaat niet hoeft te proberen.
Nou, dat scheelt nogal in dat soort circuits.
Een gewone telnet-login is dan nog veiliger, die laat niks zien.

Eigenlijk is dat gewoon een vette security breach.
Is het tonen van die balletjes uit te schakelen?

[heir4c]

Ok hier ben ik weer, 
Effe herhalen:
Ik heb ergens gelezen dat je meer dan 8 tekens kan gebruiken (zelfs héél veel) om als wachtwoord te dienen maar als je dan inlogd moet je enkel de eerste 8 tekens invullen en dan kan je inloggen. Dit om crackers het heel moeilijk te maken om binnen te raken. Weet iemand hier meer over.

[AutoStatic]

Is het tonen van die balletjes uit te schakelen?

Ja. System - Administration - Login Window en dan een vinkje zetten bij "Hide visual feedback in the password entry".

[ivo]

Ok hier ben ik weer, 
Effe herhalen:
Ik heb ergens gelezen dat je meer dan 8 tekens kan gebruiken (zelfs héél veel) om als wachtwoord te dienen maar als je dan inlogd moet je enkel de eerste 8 tekens invullen en dan kan je inloggen. Dit om crackers het heel moeilijk te maken om binnen te raken. Weet iemand hier meer over.

Wat jij beschrijft zou het hackers juist makkelijker maken, want ze hoeven alleen maar tot maximaal 8 tekens te hacken.
Het ligt eraan welke autenticatiemethode gebruikt wordt, dat is niet op alle Unices dezelfde.
Op Sun Solaris was het een aantal jaren terug zo, dat je de lengte van het password kon definieren (bijvoorbeeld 8) maar als je dan meer tekens dan die 8 intikte dan was dat geen probleem.
Op Ubuntu kun je e.e.a. regelen in /etc/pam.d/common-password.

[siegi]

Bwa niet overdrijven. Als het wachtwoord 8 tekens lang is duurt het nog altijd heel lang voor het gekraakt is.
En daarbij komt nog dat linux zich beschermt tegen krakers door een bepaalde tijd te laten wachten.
http://nl.wikipedia.org/wiki/Wachtwoord > bij 6 tekens duurt het al enkele dagen.

[heir4c]

Wat jij beschrijft zou het hackers juist makkelijker maken, want ze hoeven alleen maar tot maximaal 8 tekens te hacken.

Nee, nee, ik bedoel echt dat je heel veel tekens kan invoeren voor het password maar dat als je via jouw hardware (toetsenbord natuurlijk) enkel de 8 eerste moet intikken maar als je van buiten de computer komt, bijv. via internet, je dan wel alle tekens moet vinden voor je binnen kan.

[ivo]

Is het tonen van die balletjes uit te schakelen?

Ja. System - Administration - Login Window en dan een vinkje zetten bij "Hide visual feedback in the password entry".

Dit blijkt, zo merk ik nu, alleen voor het login scherm te werken.
gksudo bijvoorbeeld, echoed nog steeds balletjes.