🥇 Paroolipoliitika loomine Linuxis

Tere tulemast tagasi! Juba homme algavad uue kursuse grupi tunnid „Linuxi administraator“, seoses sellega avaldame kasuliku artikli teemal.

Eelmisel õpetusel rääkisime, kuidas kasutada pam_cracklib, et keerulisemaks muuta paroole süsteemides Red Hat 6 või CentOS. Red Hat 7-s pam_pwquality asendas cracklib kui pam vaikimisi mooduliks paroolide kontrollimiseks. Moodulit pam_pwquality toetatakse samuti Ubuntu ja CentOSe, samuti paljudes teistes opsüsteemides. See moodul lihtsustab paroolide poliitikate loomist, et tagada, et kasutajad järgivad teie paroolide keerukuse standardeid.

Pikka aega oli tavaline lähenemine paroolidele nõuda kasutajalt suurtähti, väiketähti, numbreid või muid sümboleid. Need põhieeskirjad paroolide keerukuse kohta on viimase kümne aasta jooksul aktiivselt edendatud. On olnud palju arutelusid, kas see on hea praktika või mitte. Peamine argument, miks selliseid keerukaid tingimusi ei kehtestata, oli see, et kasutajad kirjutavad paroolid paberile ja hoiavad neid ebaturvaliselt.

Teine poliitika, mida on hiljuti kahtluse alla seatud, sunnib kasutajaid iga x päeva tagant parooli vahetama. On tehtud uuringud, mis näitavad, et see võib samuti kahjustada turvalisust.

Nende arutelude kohta on kirjutatud palju artikleid, mis põhjendavad ühte või teist vaatenurka. Kuid see ei ole see, mida me selles artiklis arutame. See artikkel räägib sellest, kuidas õigesti seada parooli keerukust, mitte turvapoliitika haldamisest.

Paroolipoliitika seadistused

Allpool näete paroolipoliitika seadistusi ja lühikirjeldust igaühe kohta. Paljuski meenutavad need seadeid moodulis cracklib. See lähenemine lihtsustab teie poliitikate üleviimist vanast süsteemist.

difok – Tähemärkide arv teie uues paroolis, mis EI TOHI esineda teie vanas paroolis. (Vaikesäte 5)
minlen – Parooli minimaalne pikkus. (Vaikesäte 9)
ucredit – Suurte tähtede kasutamisest saadud maksimaalne krediit (kui parameeter > 0), või minimaalne nõutav suurte tähtede arv (kui parameeter < 0). Vaikesäte 1.
lcredit — Suurim lubatud krediit madala kirja sümbolite kasutamiseks (kui parameeter > 0) või minimaalne nõutav madala kirja sümbolite arv (kui parameeter < 0). Vaikimisi 1.
dcredit — Suurim lubatud krediit numbrite kasutamiseks (kui parameeter > 0) või minimaalne nõutav numbrite arv (kui parameeter < 0). Vaikimisi 1.
ocredit — Suurim lubatud krediit teiste sümbolite kasutamiseks (kui parameeter > 0) või minimaalne nõutav teiste sümbolite arv (kui parameeter < 0). Vaikimisi 1.
minclass – Määrab nõutavate klasside arvu. Klassid hõlmavad ülaltoodud parameetreid (suured tähed, väikesed tähed, numbrid, muud sümbolid). Vaikimisi 0.
maxrepeat – Suurim sümboli kordamine paroolis. Vaikimisi 0.
maxclassrepeat — Suurim järjestikuste sümbolite arv ühes klassis. Vaikimisi 0.
gecoscheck – Kontrollib, kas parool sisaldab mingeid kasutaja GECOS stringidest sõnu. (Kasutaja teave, st tõeline nimi, asukoht jne.) Vaikimisi 0 (välja lülitatud).
dictpath – Tee cracklib sõnaraamatute juurde.
badwords – Rikkalikud, tühikuga eraldatud sõnad, mis on paroolides keelatud (ettevõtte nimi, sõna „parool” jne).

Kui kontseptsioon laenu kohta kõlab kummaliselt, pole hullu, see on normaalne. Me räägime sellest lähemalt järgmistes osades.

Paroolipoliitika seadistamine

Enne konfiguratsioonifailide muutmise alustamist on soovitatav kirja panna põhjalik paroolipoliitika. Näiteks kasutame järgmisi keerukuse reegleid:

Parool peab olema vähemalt 15 tähemärki pikk.
Paroolis ei tohi sama sümbolit korrata rohkem kui kaks korda.
Paroolis võivad sümboliklassid korduda kuni neli korda.
Parool peab sisaldama sümboleid igast klassist.
Uus parool peab olema vana parooliga võrreldes 5 uut sümbolit.
Käivitada GECOS-i kontroll.
Keelata sõnad „password, pass, word, putorius”

Nüüd, kui oleme poliitika välja toonud, saame muuta faili /etc/security/pwquality.conf, et tugevdada parooli keerukuse nõudeid. Allpool on toodud näidisfail koos kommentaaridega parema arusaamise jaoks.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Kuidas te võisite märgata, on mõned parameetrid meie failis liigsed. Näiteks parameeter minclass on üleliigne, kuna me kasutame juba vähemalt kahte sümbolit klassist, kasutades välju [u,l,d,o]credit. Meie keelde kuuluvate sõnade nimekiri on samuti üleliigne, kuna me oleme keelanud ühe klassi korduva kasutamise 4 korda (kõik sõnad meie nimekirjas on kirjutatud väikeste tähtedega). Ma lisasin need parameetrid ainult näitamaks, kuidas neid kasutada paroolipoliitika kohandamisel.
Niipea kui olete oma poliitika loonud, saate sunniviisiliselt kasutajatel oma paroole järgmise sisselogimise ajal muuta süsteemi.

Veel üks kummaline asi, mida olete võib-olla märganud, on see, et väljad [u,l,d,o]credit sisaldavad negatiivset arvu. See on tingitud sellest, et numbrid, mis on suuremad või võrdsed 0, annavad krediidi sümboli kasutamiseks teie paroolis. Kui väljal on negatiivne number, tähendab see, et on nõutav teatud arv.

Mis on krediidid (credit)?

Ma kutsun neid krediitideks, kuna see edastab kõige täpsemalt nende eesmärgi. Kui parameetri väärtus on suurem kui 0, lisate sümboli krediitide arvu, mis on võrdne 'x', parooli pikkusele. Näiteks, kui kõik parameetrid (u,l,d,o)credit Kui määrate 1 ja parooli nõutav pikkus on 6, siis vajate 6 sümbolit, et täita pikkusnõue, kuna iga suur, väike täht, number või muu sümbol annab teile ühe krediidi.

Kui määrate dcredit 2, saate teoreetiliselt kasutada 9 sümbolist koosnevat parooli ja saada 2 krediiti numbrite eest, mis tähendab, et parooli pikkus võib juba olla 10.

Vaadake seda näidet. Määrasin parooli pikkuseks 13, määrasin dcredit 2 ja kõik muu 0.

$ pwscore
 Thisistwelve
 Parooli kvaliteedi kontroll ebaõnnestus:
  Parool on lühem kui 13 sümbolit

$ pwscore
 Th1sistwelve
 18

Minu esimene kontroll ebaõnnestus, kuna parooli pikkus oli vähem kui 13 sümbolit. Järgmisel korral muutsin tähe “I” numbriks “1” ja sain kaks krediiti numbrite eest, mis viis parooli pikkuse 13 juurde.

Parooli testimine

Pakett libpwquality pakub funktsionaalsust, nagu on kirjeldatud artiklis. Selle kõrval on kaasas ka programm pwscore, mis on mõeldud parooli keerukuse kontrollimiseks. Kasutasime seda eespool, et kontrollida krediite.
Tööriist pwscore loeb failist stdin. Lihtsalt käivitage utiliit ja sisestage oma parool; see annab teile vea või väärtuse vahemikus 0 kuni 100.

Parooli kvaliteedi näitaja vastab konfiguratsioonifailis olevale parameetrile. minlen Üldiselt peetakse näitajat alla 50 'tavaliseks parooliks', samas kui üle 50 on 'tugev parool'. Iga parool, mis läbib kvaliteedikontrollid (eriti sundkontroll) cracklib) peab taluma sõnaraamatute rünnakuid, samas kui üle 50 näitajaga parool standardse seadistuse minlen kohta isegi brute force rünnakute vastu.

Kokkuvõte

Seadistamine pwquality on lihtne ja mugav võrreldes failide otsese redigeerimise ebamugavustega. cracklib Selles juhendis vaatleme kõike, mida vajate paroolipoliitikate seadistamiseks Red Hat 7, CentOS 7 ja isegi Ubuntu süsteemides. Räägime ka krediitide kontseptsioonist, millest harva kirjutatakse põhjalikult, mistõttu jääb see teema sageli arusaamatuks neile, kes pole sellega varem kokku puutunud. pampwquality käsiraamat

Allikad:

pam_pwquality käsiraamat
pwscore käsiraamat
Turvaliste paroolide valimine – Bruce Schneier

Kasulikud lingid:

Lorrie Faith Cranor arutab oma parooli uuringute tulemusi CMU-s
Kuulus xkcd karikatuur Entroopiast
Kuulus xkcd karikatuur Entropiast

Allikas: habr.com