长知识了，按键时序侧信道混淆 //吃饱撑的

今天偶然看到篇文章，说从2023年开始，openssh加入了按键时序侧信道混淆ObscureKeystrokeTiming ,就是在输入密码时(实质是任何键盘输入），攻击者可以根据你发包的速度，也就是你敲键盘的速度猜测你的密码和其它敏感东西，因为一个人总有些字母输得快有些输得慢，然后在不同字母间手指头移动也有相对固定的移动速度。

我不得不佩服这些学究们的脑洞真大，但至于为了这种仅仅存在于理论上的而且只能国家级力量来操作的东西来把它当成默认设置吗？而且，真有这么大的面子的服务器，起码也是密钥登录啊，就算密码登录，不也是保存在ssh客户端的么，谁特么没事每次敲?

对普通人，好处没有，副作用挺大的。因为只要你输入一个字符，openssh会在几秒内不停传送几十个包（字符），其中只有一个是真的，这样，让时间间隔检测失效。网络链路好还可以，网络不好，几十个包啊，那卡一下不是很正常?? ssh卡一下那体感太明显了。

tcpdump -ni any host 你的IP and port 22 可以来验证这个玩意。实测，debian ssh连debian服务器时，默认打开了这个混淆功能，你一敲键盘一下，tcpdump蹦几十行，windows上，termius则只有一条。

突然想到我以前调笑的freebsd，为了所谓数据安全，磁盘io全部用同步方式，安全是安全了，就是性能差io压力来了容易死机，死机了再花几天几夜强制fsck好后才能启动。。。 有兴趣可以看我以前的老博文。

我只能送这帮学究三个字，神经病。