为什么错误的密码尝试比正确的密码尝试需要更长的时间来处理？

Question

我注意到的最突出的地方是在工作中使用 SSH 时，但我觉得我在其他地方也观察到了这种行为。

当我在工作时尝试从 Windows 桌面登录 Linux 服务器时，我注意到如果我输入错误密码，需要 5 秒左右的时间才能返回“拒绝访问”。然后，当我正确输入密码时，登录（以及欢迎消息等）几乎是即时的。

这是否有任何合乎逻辑的原因，还是归结为某些特定于工作中的机器的奇怪配置？

Answer 1

可能有一个内置的人为超时，使暴力攻击更难成功。

您将在许多涉及安全身份验证的登录提示中看到这一点...

Answer 2

这是一些有意的延迟，以防止暴力攻击。更长的延迟还可以防止攻击者猜测用户名错误和密码错误之间的区别（散列和检查密码比检查用户名花费的时间明显更长）。