Създаване на политика за пароли в Linux

Здравейте отново! Утре започват занятията в новата група на курса "Администратор Linux", поради което публикуваме полезна статия по темата.

В предишния tutorial обяснихме как да използвате pam_cracklib, за да усложните паролите в системите Red Hat 6 или CentOS. В Red Hat 7 pam_pwquality замени cracklib в качеството на pam модула по подразбиране за проверка на пароли. Модулът pam_pwquality също така се поддържа в Ubuntu и CentOS, както и в много други ОС. Този модул опростява създаването на политики за пароли, за да се уверите, че потребителите спазват вашите стандарти за сложност на паролите.

Дълго време обичайният подход към паролите беше да накарат потребителите да използват в тях символи с главна и малка буква, цифри или други символи. Тези основни правила за сложност на паролите активно се пропагандират през последните десет години. Имаше много дискусии по въпроса, дали това е добра практика или не. Основният аргумент против въвеждането на подобни сложни условия беше, че потребителите записват паролите си на хартия и ги съхраняват небезопасно.

Друга политика, която наскоро беше поставена под съмнение, е задължението на потребителите да променят паролите си на всеки x дни. Проведени са някои изследвания, които показват, че това също вреди на сигурността.

По темата на тези дискусии са написани множество статии, които аргументират тази или онази гледна точка. Но това не е темата, която ще обсъдим в тази статия. Тази статия ще разгледа как коректно да зададете сложността на паролите, а не да управлявате политиката за сигурност.

Параметри на политиките за пароли

По-долу ще видите параметрите на политиките за пароли и кратко описание на всеки от тях. Много от тях са подобни на параметрите в модула cracklib. Такъв подход улеснява преноса на вашите политики от старата система.

• difok – Брой символи в новата ви парола, които НЕ трябва да присъстват в старата ви парола. (По подразбиране 5)
• minlen – Минимална дължина на паролата. (По подразбиране 9)
• ucredit – Максимален брой кредити за използването на символи с главна буква (ако параметърът > 0), или минималното изисквано число символи с главна буква (ако параметърът < 0). По подразбиране 1.
• lcredit — Максималното количество кредити за използване на символи с малки букви (ако параметърът > 0) или минималното изискуемо количество символи с малки букви (ако параметърът < 0). По подразбиране 1.
• dcredit — Максималното количество кредити за използване на цифри (ако параметърът > 0) или минималното изискуемо количество цифри (ако параметърът < 0). По подразбиране 1.
• ocredit — Максималното количество кредити за използване на други символи (ако параметърът > 0) или минималното изискуемо количество други символи (ако параметърът < 0). По подразбиране 1.
• minclass – Установява количеството изисквани класове. Класовете включват горепосочените параметри (символи с главни букви, малки букви, цифри и други символи). По подразбиране 0.
• maxrepeat – Максималното число повторения на символ в паролата. По подразбиране 0.
• maxclassrepeat — Максималното количество последователни символи в един клас. По подразбиране 0.
• gecoscheck – Проверява дали паролата съдържа някакви думи от GECOS низовете на потребителя. (Информация за потребителя, т.е. истинско име, местоположение и т.н.) По подразбиране 0 (изключено).
• dictpath – Пътя към cracklib речниците.
• badwords – Думите, разделени с интервали, които са забранени в паролите (името на компанията, думата «парола» и т.н.).

Ако концепцията за кредити звучи странно, не се притеснявайте, това е нормално. Ще говорим за това по-подробно в следващите раздели.

Конфигурация на политиката за пароли

Преди да започнете да редактирате конфигурационни файлове, добра практика е да запишете основната политика за пароли предварително. Например, ще използваме следните правила за сложност:

• Паролата трябва да има минимална дължина от 15 символа.
• В паролата един и същ символ не трябва да се повтаря повече от два пъти.
• В паролата класовете символи могат да се повтарят до четири пъти.
• Паролата трябва да съдържа символи от всеки клас.
• Новата парола трябва да има 5 нови символа в сравнение със старата.
• Включете проверката на GECOS.
• Забранете думите «password, pass, word, putorius»

Сега, след като изложихме политиката, можем да редактираме файла /etc/security/pwquality.conf, за да засилим изискванията за сложност на паролата. По-долу е примерен файл с коментари за по-добро разбиране.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Както сте забелязали, някои параметри в нашия файл са излишни. Например, параметърът minclass излишен, тъй като вече използваме поне два символа от класа, като използваме полета [u,l,d,o]credit. Нашият списък с думи, които не могат да се използват, е също излишен, тъй като забранихме повторението на всякакъв клас 4 пъти (всички думи в нашия списък са написани с малки букви). Включил съм тези параметри само за да демонстрирам как да ги използвате за настройка на политиката за пароли.
След като създадете своята политика, можете да принудите потребителите да сменят паролите си при следващото им влизане в система.

Една странна неща, които вероятно забелязахте, е, че полета [u,l,d,o]credit съдържат отрицателно число. Това е така, защото числа по-големи или равни на 0 ще дадат кредит за използването на символа във вашата парола. Ако полето съдържа отрицателно число, това означава, че се изисква определен брой.

Какво е кредит (credit)?

Наричам ги кредити, тъй като това най-точно отразява тяхното предназначение. Ако стойността на параметъра е по-голяма от 0, добавяте брой "кредити на символи" равен на "х" към дължината на паролата. Например, ако всички параметри (u,l,d,o)credit са настроени на 1, а изискваната дължина на паролата е била 6, то ще ви трябват 6 символа, за да удовлетворите изискването за дължина, защото всеки символ с главна буква, малка буква, цифра или друг символ ще ви даде един кредит.

Ако зададете dcredit на 2, теоретично можете да използвате парола с дължина 9 символа и да получите 2 кредита за символи за цифрите и тогава дължината на паролата вече може да бъде 10.

Разгледайте този пример. Зададох дължината на паролата 13, настроих dcredit на 2, а всичко останало на 0.

$ pwscore
 Thisistwelve
 Проверка на качеството на паролата не успя:
  Паролата е по-кратка от 13 символа

$ pwscore
 Th1sistwelve
 18

Първата ми проверка се провали, тъй като дължината на паролата беше по-малка от 13 символа. Следващия път промених буквата “I” на цифрата “1” и получих два кредита за цифри, което направи паролата еквивалентна на 13.

Тест за парола

Пакет libpwquality осигурява функционалността, описана в статията. С него се доставя и програмата pwscore, която е предназначена за проверка на паролата за сложност. Използвахме я по-горе за проверка на кредитите.
Утилита pwscore чита от stdin. Просто стартирайте утилитата и напишете вашата парола, тя ще предостави грешка или стойност от 0 до 100.

Показателят за качеството на паролата съответства на параметъра minlen в конфигурационния файл. Като цяло, показател под 50 се счита за "нормална парола", а над 50 - за "сила парола". Всяка парола, която преминава проверките за качество (особено задължителната проверка cracklib) трябва да устои на атаки с речник, а паролата с показател над 50 с настройка minlen по подразбиране дори brute force атаки.

Заключение

Настройка pwquality е лесно и просто в сравнение с неудобствата при използване cracklib на директно редактиране на файлове pam. В това ръководство разгледахме всичко, което ще ви трябва при настройка на политики за пароли в Red Hat 7, CentOS 7 и дори системи Ubuntu. Обсъдихме концепцията за кредити, за която рядко се пише подробно, затова тази тема често остава неразбрана за тези, които не са се сблъсквали с нея преди.

Източници:

pwquality man page
pam_pwquality man page
pwscore man page

Полезни връзки:

Избор на сигурни пароли – Брус Шнайер
Лори Фейт Кранор обсъжда своите изследвания на паролите в CMU
Скандалният комикс xkcd за ентропията

Източник: habr.com