Mengapa Dibutuhkan Lebih Lama bagi Komputer untuk Menanggapi Kata Sandi yang Tidak Benar dan Yang Salah?

Pernahkah Anda memasukkan kata sandi yang salah pada komputer Anda secara tidak sengaja dan memperhatikan bahwa diperlukan beberapa saat untuk merespons dibandingkan dengan memasukkan kata sandi yang benar? Mengapa demikian? T&J Super Pengguna hari ini memiliki jawaban untuk pertanyaan pembaca yang penasaran.

Sesi Tanya Jawab hari ini datang kepada kami berkat SuperUser-subdivisi Stack Exchange, pengelompokan situs web Q&A berbasis komunitas.

Tangkapan layar milik sully213 (Flickr).

Pertanyaan

SuperUser reader user3536548 ingin tahu mengapa ada waktu respons yang lebih lama ketika kata sandi yang salah dimasukkan:

Ketika Anda memasukkan kata sandi dan itu benar, waktu responsnya praktis instan. Tetapi ketika Anda memasukkan kata sandi yang salah (secara tidak sengaja atau lupa kata sandi yang benar), perlu waktu (10-30 detik) sebelum merespons bahwa kata sandi salah.

Mengapa butuh waktu lama (relatif) untuk mengatakan bahwa kata sandi salah? Ini selalu mengganggu saya ketika memasukkan kata sandi yang salah pada sistem Windows dan Linux (reguler dan berbasis VM). Saya tidak yakin tentang Mac OSX karena saya tidak ingat apakah itu sama (sudah lama sejak saya terakhir menggunakan Mac).

Saya bertanya dalam konteks pengguna yang masuk ke sistem secara fisik di lokasi alih-alih melalui SSH yang dapat menggunakan mekanisme yang agak berbeda untuk masuk (validasi kredensial).

Mengapa ada waktu respons yang lebih lama ketika Anda memasukkan kata sandi yang salah?

Jawabannya

Kontributor SuperUser Michael Kjorling memiliki jawaban untuk kita:

Mengapa butuh waktu lama (relatif) untuk mengatakan bahwa kata sandi salah?

Itu tidak. Atau lebih tepatnya, tidak perlu komputer lagi untuk menentukan bahwa kata sandi Anda salah dibandingkan dengan yang benar. Pekerjaan yang terlibat untuk komputer, idealnya, persis sama. Skema verifikasi kata sandi apa pun yang memerlukan jumlah waktu berbeda berdasarkan apakah kata sandi itu benar atau salah dapat dieksploitasi untuk mendapatkan pengetahuan, betapapun kecilnya kata sandi dalam waktu yang lebih singkat daripada yang seharusnya..

Penundaan ini merupakan penundaan artifisial untuk berulang kali mencoba mendapatkan akses dengan menggunakan berbagai kata sandi yang tidak layak, bahkan jika Anda memiliki gagasan tentang apa kata sandinya dan penguncian akun otomatis dinonaktifkan (yang seharusnya dalam sebagian besar skenario seperti yang seharusnya memungkinkan untuk penolakan sepele terhadap layanan terhadap akun yang sewenang-wenang).

Istilah umum untuk perilaku ini adalah tarpitting. Sementara artikel Wikipedia berbicara lebih banyak tentang layanan jaringan, konsepnya generik. Hal Baru Lama juga bukan sumber resmi, tetapi artikel “Mengapa butuh waktu lebih lama untuk menolak kata sandi yang tidak valid daripada menerima kata sandi yang valid?” memang membicarakan hal ini (di dekat akhir artikel).

Punya sesuatu untuk ditambahkan ke penjelasan? Berbunyi dalam komentar. Ingin membaca lebih banyak jawaban dari pengguna Stack Exchange yang mengerti teknologi lainnya? Lihat utas diskusi lengkap di sini.