um superusuário pode roubar senhas de outros usuários com keylogging?

Question

Primeiro, antes de obter respostas contendo informações que já conheço, sim, estou ciente de que o superusuário pode redefinir senhas e, sim, sei que o superusuário pode fazer login como outros usuários sem saber suas senhas.

Eu também sei que é possível quebrar uma senha criptografada com programas especiais. Estou falando de obter diretamente a senha que um usuário digita, como texto simples, sem a necessidade de descriptografar nada.

Claro, um programa geral de keylogging pode fazer isso, eu suponho, mas haveria muito lixo na saída que não estava relacionado a senhas, e pode até ter recursos de segurança embutidos para evitar esse uso.

É possível que o root coloque um programa de keylogging em uma máquina, que é ativado especificamente quando um usuário altera sua senha, e "intercepta" as informações antes que elas sejam criptografadas? Em seguida, ele poderia enviar essas informações para um arquivo secreto no diretório inicial do root.

    

Answer 1

Sim, claro.

O superusuário pode substituir os programas que leem a senha do usuário ( login , passwd ,…) por versões que fazem seu trabalho, além de gravar a senha em um log.

O superusuário também pode substituir o kernel por um kernel que modifica o modo como programas como ls , md5sum , lsof , etc. trabalham para que eles reportem os programas modificados parecendo os normais, para que seria impossível detectar que o sistema foi modificado a partir do interior. Você ainda pode detectar a modificação observando cuidadosamente do lado de fora, por exemplo olhando para uma imagem de disco.

O superusuário pode ir além e modificar alguns firmwares em um dos principais periféricos do sistema, para que ele injete o malware quando o sistema inicializar. Isso representa um nível consideravelmente mais alto de sofisticação, mas é possível, pelo menos em princípio.

Se você não confia no administrador de um computador, não digite sua senha lá.

    

Answer 2

Depende de como os usuários mudam suas senhas. Se eles usarem apenas passwd , não será difícil para o usuário root substituir um binário passwd real por um equivalente comprometido. A maioria das pessoas não tem o hábito de verificar obsessivamente se passwd é um binário ou um script de shell ou se vem de uma fonte legítima. Mas, finalmente, o mais importante é que os usuários entendam que root é o usuário mais poderoso e não podem confiar 100% na máquina que não pertence a eles.

    

Answer 3

Fácil como 1-2-3:

1. Obtenha o código fonte do shell que o usuário está usando
2. Modifique para que tudo seja registrado ou apenas caracteres após passwd
3. Compilar e substituir o shell existente

Answer 4

Teoricamente sim. O superusuário pode modificar qualquer coisa no sistema em execução. Isso significa também o Kernel e todos os binários relacionados ao login, por ex. Adicionando uma chamada que envia a senha para um site antes de ser hash.

Na prática, isso é inútil, como você mesmo apontou, e é por isso que algo assim provavelmente nunca acontecerá.