Създаване на политика за пароли в Linux

Здравей отново! Заниманията в новата група започват от утре „Linux администратор“, в тази връзка публикуваме полезна статия по темата.

В предишния урок ви казахме как да използвате pam_cracklibда направи паролите в системите по-сложни Червена шапка 6 или CentOS. В Red Hat 7 pam_pwquality заменен cracklib като pam модул по подразбиране за проверка на пароли. Модул pam_pwquality също се поддържа от Ubuntu и CentOS, както и много други операционни системи. Този модул улеснява създаването на политики за пароли, за да се гарантира, че потребителите приемат вашите стандарти за сила на паролата.

Дълго време общият подход към паролите беше да се принуди потребителят да използва главни, малки букви, цифри или други символи. Тези основни правила за сложността на паролата бяха широко рекламирани през последните десет години. Имаше много дискусии дали това е добра практика или не. Основният аргумент срещу поставянето на такива сложни условия беше, че потребителите записват пароли на листове хартия и ги съхраняват несигурно.

Друга политика, която наскоро беше поставена под въпрос, принуждава потребителите да променят паролите си на всеки x дни. Има някои проучвания, които показват, че това също е вредно за безопасността.

По темата на тези дискусии са написани много статии, които обосновават една или друга гледна точка. Но не това ще обсъдим в тази статия. Тази статия ще говори за това как правилно да зададете сложността на паролата, вместо да управлявате политиката за сигурност.

Настройки на правилата за парола

По-долу ще видите опциите за правилата за пароли и кратко описание на всяка от тях. Много от тях са подобни на параметрите в модула cracklib. Този подход улеснява пренасянето на вашите политики от наследената система.

• Съжалявам – Броят знаци в новата ви парола, които НЕ трябва да присъстват в старата ви парола. (По подразбиране 5)
• минлен – Минимална дължина на паролата. (По подразбиране 9)
• ucredit – Максималният брой кредити за използване на главни букви (ако параметър > 0) или минимално необходимия брой главни букви (ако параметър < 0). По подразбиране е 1.
• lcredit — Максималният брой кредити за използване на знаци с малки букви (ако параметърът е > 0) или минималният изискуем брой знаци с малки букви (ако параметърът е < 0). По подразбиране е 1.
• кредит — Максималният брой кредити за използване на цифри (ако параметърът е > 0) или минималният изискуем брой цифри (ако параметърът е < 0). По подразбиране е 1.
• той вярва — Максималният брой кредити за използване на други символи (ако параметърът е > 0) или минималният изискуем брой други символи (ако параметърът е < 0). По подразбиране е 1.
• minclass – Задава необходимия брой класове. Класовете включват горните параметри (главни букви, малки букви, числа, други знаци). По подразбиране е 0.
• maxrepeat – Максималният брой повторения на знак в парола. По подразбиране е 0.
• maxclassrepeat — Максималният брой последователни знаци в един клас. По подразбиране е 0.
• gecocheck – Проверява дали паролата съдържа думи от GECOS низовете на потребителя. (Потребителска информация, т.е. истинско име, местоположение и т.н.) По подразбиране е 0 (изключено).
• dictpath – Да отидем на речниците на cracklib.
• лоши думи – Думи, разделени с интервал, които са забранени в паролите (име на фирмата, думата „парола“ и др.).

Ако понятието заеми звучи странно, няма страшно, нормално е. Ще говорим повече за това в следващите раздели.

Конфигурация на правилата за пароли

Преди да започнете да редактирате конфигурационните файлове, добра практика е предварително да запишете основна политика за пароли. Например ще използваме следните правила за трудност:

• Паролата трябва да има минимална дължина от 15 знака.
• Един и същ знак не трябва да се повтаря повече от два пъти в паролата.
• Класовете знаци могат да се повтарят до четири пъти в една парола.
• Паролата трябва да съдържа знаци от всеки клас.
• Новата парола трябва да има 5 нови знака в сравнение със старата.
• Активирайте проверката на GECOS.
• Забранете думите „парола, пропуск, дума, пъториус“

Сега, след като изложихме политиката, можем да редактираме файла /etc/security/pwquality.confза увеличаване на изискванията за сложност на паролата. По-долу има примерен файл с коментари за по-добро разбиране.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Както може би сте забелязали, някои параметри в нашия файл са излишни. Например параметърът minclass е излишен, тъй като вече използваме поне два знака от класа, използващ полета [u,l,d,o]credit. Нашият списък с думи, които не могат да се използват, също е излишен, тъй като сме забранили повтарянето на всеки клас 4 пъти (всички думи в нашия списък са написани с малки букви). Включих тези опции само за да демонстрирам как да ги използвате, за да конфигурирате вашата политика за пароли.
След като създадете вашата политика, можете да принудите потребителите да променят паролите си следващия път, когато влязат. системата.

Друго странно нещо, което може би сте забелязали, е, че полетата [u,l,d,o]credit съдържат отрицателно число. Това е така, защото числа, по-големи или равни на 0, ще дадат заслуга за използването на знака във вашата парола. Ако полето съдържа отрицателно число, това означава, че е необходимо определено количество.

Какво представляват заемите?

Наричам ги заеми, защото това предава целта им възможно най-точно. Ако стойността на параметъра е по-голяма от 0, вие добавяте брой "символни кредити", равни на "x" към дължината на паролата. Например, ако всички параметри (u,l,d,o)credit зададена на 1 и необходимата дължина на паролата е 6, тогава ще ви трябват 6 знака, за да удовлетворите изискването за дължина, тъй като всяка главна, малка буква, цифра или друг знак ще ви даде един кредит.

Ако инсталирате dcredit при 2 теоретично можете да използвате парола с дължина 9 знака и да получите кредити от 2 знака за числа, а след това дължината на паролата вече може да бъде 10.

Вижте този пример. Зададох дължината на паролата на 13, зададох dcredit на 2 и всичко останало на 0.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

Първата ми проверка беше неуспешна, защото паролата беше по-малка от 13 знака. Следващият път промених буквата „I“ на цифрата „1“ и получих два кредита за числата, което направи паролата равна на 13.

Тестване на парола

пакет libpwquality предоставя описаната в статията функционалност. Идва и с програма pwscore, който е предназначен да проверява сложността на паролата. Използвахме го по-горе за проверка на заеми.
Полезност pwscore чете от стандартния вход. Просто стартирайте помощната програма и напишете паролата си, тя ще покаже грешка или стойност от 0 до 100.

Резултатът за качество на паролата е свързан с параметъра minlen в конфигурационния файл. Като цяло резултат под 50 се счита за „нормална парола“, а резултат по-висок се счита за „силна парола“. Всяка парола, която преминава проверки за качество (особено принудителна проверка cracklib) трябва да издържа на атаки от речник и парола с резултат над 50 с настройката minlen дори по подразбиране brute force атаки.

Заключение

регулиране pwquality – това е лесно и просто в сравнение с неудобството при използване cracklib с директно редактиране на файлове pam. В това ръководство сме покрили всичко, от което ще се нуждаете, когато настройвате правила за пароли на системи Red Hat 7, CentOS 7 и дори Ubuntu. Говорихме и за понятието заеми, за което рядко се пише подробно, така че тази тема често остава неясна за тези, които не са се сблъсквали с нея преди.

Източници:

pwquality справочна страница
pam_pwquality страница с ръководство
pwscore man страница

Полезни връзки:

Избор на сигурни пароли – Брус Шнайер
Лори Фейт Кранор обсъжда изучаването на паролите си в CMU
The Infamous xkcd карикатура на Entropy

Източник: www.habr.com