Desvio por tempo na autenticação por senha do OpenSSH com contas bloqueadas e musl libc

O que aconteceu e o que fazer

O post de theknell, publicado na lista oss-sec em 6 de novembro de 2026, responde a uma pergunta sobre o comportamento da autenticação por senha quando não há sal para reutilizar. O autor montou um ambiente com OpenSSH 10.6p2 compilado com --without-pam e um arquivo shadow em que nenhuma conta tem senha válida: os campos usam marcadores de bloqueio como *, !, !! e *LK*, além de um hash yescrypt bloqueado. A autenticação por senha permanecia habilitada. Foram feitas 60 amostras intercaladas por conta, medindo somente o tempo da solicitação de autenticação, com glibc/libxcrypt e com musl. O autor indica que scripts e dados brutos estão disponíveis mediante solicitação.

Para uma empresa que expõe SSH com autenticação por senha, o caso pede verificação prática e não suposição: inventariar hosts que usam musl ou glibc, testar contas bloqueadas e inexistentes com medições repetidas e comparáveis, e registrar a configuração de PAM e de autenticação. Uma pipeline de coleta pode validar versões e bibliotecas em cada imagem, e um painel pode acompanhar quais contas e servidores ainda aceitam senha. Como medida defensiva imediata, a empresa pode migrar para autenticação por chave, reduzindo a superfície independentemente do resultado dos testes.

Como a consultoria pode ajudar

Diagnóstico da exposição de servidores SSH a este cenário: inventário de versões do OpenSSH, bibliotecas C (musl ou glibc) e configuração de PAM e autenticação por senha, com um plano de testes controlados. Implementação de coleta automatizada e painel de monitoramento, operados no ambiente do cliente.

Próximo passo

Se a sua empresa mantém SSH com autenticação por senha ou imagens baseadas em musl, envie uma breve descrição do seu ambiente e receba uma proposta escopada de diagnóstico e implementação.