Prečo trvá dlhšie, kým počítač reaguje na nesprávne heslo oproti správnemu heslu?

Zaznamenali ste niekedy nesprávne heslo počítača a všimli ste si, že zaberie niekoľko okamihov, než odpoviete na zadanie správneho hesla? Prečo to je? Dnešný príspevok typu SuperUser Q & A má odpoveď na otázku zvedavého čitateľa.

Dnešná relácia otázok a odpovedí sa k nám pridelí zdvorilosťou SuperUser - podskupiny Stack Exchange, zoskupenia webových stránok typu Q & A.

Snímka s ukážkou verzie sully213 (Flickr).

Otázka

Používateľ čítačky SuperUser3536548 sa chce dozvedieť, prečo existuje dlhšia doba odozvy pri zadaní nesprávneho hesla:

Keď zadáte heslo a je to správne, čas odozvy je prakticky okamžitý. Ak však zadáte nesprávne heslo (náhodou alebo ste zabudli na správne heslo), chvíľu trvá (10-30 sekúnd) predtým, než odpovie, že heslo je nesprávne.

Prečo trvá tak dlho (relatívne), že heslo je nesprávne? Vždy sa mi to vyskytlo pri zadávaní nesprávnych hesiel na systéme Windows a Linux (bežné a založené na VM). Nie som si istý o Mac OSX, pretože si nemôžem spomenúť, či je to rovnaké (bolo to chvíľu, kedy som naposledy používal Mac).

Pýtam sa v kontexte toho, že sa používateľ prihlasuje do systému fyzicky na mieste a nie cez SSH, čo by mohlo predstavovať použitie trochu odlišných mechanizmov na prihlásenie (overiť poverenia).

Prečo je pri zadávaní nesprávneho hesla dlhší čas odozvy?

Odpoveď

Sponzor SuperUser Michael Kjorling má odpoveď pre nás:

Prečo trvá tak dlho (relatívne), že heslo je nesprávne?

Nie je. Alebo skôr, že počítač už neprijme, aby zistil, že vaše heslo je nesprávne v porovnaní s tým, že je správne. Práca týkajúca sa počítača je v ideálnom prípade úplne rovnaká. Každá schéma overenia hesla, ktorá trvá iný čas na základe toho, či je heslo správne alebo nesprávne, môže byť využitá na získanie poznatkov, hoci malých, o heslo v kratšom čase, než by bol inak.

Oneskorenie je umelé oneskorenie opakovaného pokusu získať prístup pomocou rôznych hesiel neudržateľných, aj keď máte nejakú predstavu o tom, čo je heslo a automatické uzamknutie účtu je zakázané (čo by malo byť vo väčšine scenárov, ako by inak umožňovalo triviálne odmietnutie služby proti ľubovoľnému účtu).

Všeobecný pojem pre toto správanie je tarpitting. Zatiaľ čo článok z Wikipédie hovorí o službe tarpitting v sieti, koncept je všeobecný. Stará nová vec nie je ani oficiálnym zdrojom, ale článok "Prečo trvá dlhšie odmietnutie neplatného hesla než akceptovať platný?" hovorí o tom (blízko konca článku).

Máte niečo doplniť vysvetlenie? Znie to v komentároch. Chcete sa dozvedieť viac odpovedí od iných používateľov technickej úrovne Stack Exchange? Pozrite sa na celý diskusný príspevok tu.