🥇Paroolipoliitika loomine Linuxis

Tere jälle! Juba homme algavad tunnid uues grupis kursusel Linuxi administraator, seoses sellega avaldame kasuliku artikli teema kohta.

Eelmises õpetuses rääkisime, kuidas kasutada pam_cracklib, et keerukamaks muuta salasõnu süsteemides Red Hat 6 või CentOS. Red Hat 7-s pam_pwquality asendas cracklib vaikimisi pam moodulina salasõnade kontrollimiseks. Moodul pam_pwquality on samuti toetatud Ubuntu ja CentOS-is, samuti paljudes teistes operatsioonisüsteemides. See moodul lihtsustab salasõnapoliitikate koostamist, et tagada kasutajate järgimine teie salasõnade keerukuse standarditele.

Pikka aega oli tavapärane lähenemine salasõnadele sundida kasutajat kasutama neis suuri ja väikesi tähti, numbreid või muid sümboleid. Need põhilised salasõnade keerukuse reeglid on viimase kümne aasta jooksul aktiivselt propageeritud. On toimunud palju arutelusid selle üle, kas see on hea praktika või mitte. Peamine argument nende keerukate nõuete vastu on see, et kasutajad kirjutavad salasõnad paberitele ja hoiustavad neid turvamata.

Teine poliitika, mida hiljuti on kahtluse alla seatud, sundib kasutajaid oma salasõnu vahetama iga x päeva tagant. On läbi viidud uuringuid, mis näitavad, et see kahjustab samuti turvalisust.

Selle teema kohta on kirjutatud palju artikleid, mis kaitsevad ühte või teist seisukohta. Kuid see ei ole see, millest me selles artiklis räägime. See artikkel räägib sellest, kuidas õigesti määratleda salasõna keerukust, mitte juhtida turvapoliitikat.

Salasõnapoliitika parameetrid

Allpool näete salasõnapoliitika parameetreid ja igaühe lühikest kirjeldust. Paljud neist on sarnased parameetritega moodulis cracklib. Selline lähenemine lihtsustab teie poliitikate porteerimist vanast süsteemist.

difok – Uue salasõna sümbolite arv, mis EI tohi esineda teie vanas salasõnas. (Vaikimisi 5)
minlen – Salasõna minimaalne pikkus. (Vaikimisi 9)
ucredit – Suurim krediit suurte tähemärkide kasutamise eest (kui parameeter > 0), või minimaalne nõutav suurte tähemärkide arv (kui parameeter < 0). Vaikimisi 1.
lcredit — Maksimaalne krediitide arv väikeste tähtede kasutamiseks (kui parameeter > 0), või minimaalne vajalik väikeste tähtede arv (kui parameeter < 0). Vaikimisi 1.
dcredit — Maksimaalne krediitide arv numbrite kasutamiseks (kui parameeter > 0), või minimaalne vajalik numbrite arv (kui parameeter < 0). Vaikimisi 1.
ocredit — Maksimaalne krediitide arv muude sümbolite kasutamiseks (kui parameeter > 0), või minimaalne vajalik muude sümbolite arv (kui parameeter < 0). Vaikimisi 1.
minclass – Seab nõutavate klasside arvu. Klassid sisaldavad ülaltoodud parameetreid (suurtähed, väiketähed, numbrid, muud sümbolid). Vaikimisi 0.
maxrepeat – Sümboli maksimaalne kordamine paroolis. Vaikimisi 0.
maxclassrepeat — Maksimaalne järjestikuste sümbolite arv ühes klassis. Vaikimisi 0.
gecoscheck – Kontrollib, kas parool sisaldab mingeid sõnu kasutaja GECOS ridadest. (Kasutaja teave, st pärisnimi, asukoht jne.) Vaikimisi 0 (välja lülitatud).
dictpath – Tee cracklib sõnastikeni.
badwords – Tühikutega eraldatud sõnad, mis on paroolides keelatud (ettevõtte nimi, sõna „parool“ jne.).

Kui krediitide mõiste tundub kummaline, pole hullu, see on normaalne. Räägime sellest lähemalt järgmistes jaotistes.

Paroolipoliitika seadistamine

Enne konfiguratsioonifailide muutmist on hea tava eelnevalt üles kirjutada põhjalik paroolipoliitika. Näiteks kasutame järgmisi keerukuse reegleid:

Parool peab olema vähemalt 15 tähemärki pikk.
Paroolis ei tohi sama sümbolit korrata rohkem kui kaks korda.
Paroolis võivad sümbolit klassid korduda kuni neli korda.
Parool peab sisaldama sümboleid igast klassist.
Uuel paroolil peab olema võrreldes vanaga 5 uut sümbolit.
Lülita sisse GECOS-i kontroll.
Keelata sõnad „password, pass, word, putorius“

Nüüd, kui oleme poliitika välja toonud, saame redigeerida faili /etc/security/pwquality.conf, et tugevdada parooli keerukuse nõudeid. Allpool on esitletud faili näidis kommentaaridega parema mõistmise saavutamiseks.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Kuidas olete võinud märgata, on meie failis mõned parameetrid liialdatud. Näiteks parameeter minclass on üleliigne, kuna me kasutame vähemalt kahte sümbolit klassist, kasutades välju [u,l,d,o]credit. Meie sõnalist loendit, mida ei tohi kasutada, peetakse samuti üleliigseks, kuna oleme igasuguse klassi kordamise keelanud 4 korda (kõik sõnad meie loendis on kirjutatud väikeste tähtedega). Ma lisasin need parameetrid, et näidata, kuidas neid kasutada paroolipoliitika kohandamiseks.
Kui olete oma poliitika loonud, saate nõuda, et kasutajad muudaksid oma salasõnu järgmisel sisselogimisel süsteemi.

Veel üks kummaline asi, mida olete võib-olla märganud, on see, et väljad [u,l,d,o]credit sisaldavad negatiivset arvu. See on tingitud sellest, et numbrid, mis on suuremad või võrdne 0, annavad krediiti sümbolite kasutamiseks teie salasõnas. Kui väli sisaldab negatiivset arvu, tähendab see, et vajalik on teatud kogus.

Mis on krediidid (credit)?

Ma nimetangi neid krediitideks, kuna see edastab nende eesmärgi kõige täpsemalt. Kui parameetri väärtus on suurem kui 0, lisate sümbolite krediitide arvu "x" parooli pikkusele. Näiteks, kui kõik parameetrid (u,l,d,o)credit on seatud 1-ks, ja soovitud parooli pikkus oli 6, siis vajate 6 sümbolit, et rahuldada pikkuse nõuet, kuna iga suurtäht, väike täht, number või muu sümbol annab teile ühe krediidi.

Kui seate dcredit 2, saate teoreetiliselt kasutada 9 sümboliga parooli ja saada 2 sümbolikrediiti numbrite eest, seega võib parooli pikkus juba olla 10.

Vaadake seda näidet. Seadsin parooli pikkuseks 13, seadsin dcredit 2-ks ja kõik muu 0-ks.

$ pwscore
 Thisistwelve
 Parooli kvaliteedikontroll ebaõnnestus:
  Parool on lühem kui 13 tähemärki

$ pwscore
 Th1sistwelve
 18

Minu esimene kontroll ebaõnnestus, kuna parooli pikkus oli alla 13 tähemärgi. Järgmine kord vahetasin tähte “I” numbri “1” vastu ja sain kaks krediiti numbrite eest, mis tõi parooli pikkuse 13-le.

Parooli testimine

Pakett libpwquality tagab funktsionaalsuse, nagu on kirjeldatud artiklis. Samuti koos temaga tuleb programm pwscore, mis on mõeldud parooli keerukuse kontrollimiseks. Kasutasime seda ülal, et kontrollida krediite.
Utiliit pwscore loetakse sisse stdin. Lihtsalt käivitage utiliit ja sisestage oma parool, see annab veateate või väärtuse vahemikus 0 kuni 100.

Parooli kvaliteedi näitaja on seotud parameetriga minlen konfiguratsioonifailis. Üldiselt peetakse skoori alla 50 "normaalseks parooliks", üle 50 aga "tugevuks parooliks". Iga parool, mis läbib kvaliteedikontrolli (eriti kohustusliku kontrolli cracklib) peab taluma sõnakirjarünnakut ja parool, mille skoor on üle 50, seadistusega minlen vaikimisi isegi brute force rünnakud.

Kokkuvõte

Seadistamine pwquality on lihtne ja mugav võrreldes failide otse redigeerimise hädadega cracklib . Selles juhendis käsitleme kõike, mida vajate paroolipoliitikate seadistamiseks Red Hat 7, CentOS 7 ja isegi Ubuntu süsteemides. Rääkisime ka krediitide kontseptsioonist, millest harva põhjalikult kirjutatakse, seega on see teema sageli jäänud arusaamatuks neile, kes pole selle kohta varem kokku puutunud. pampwquality man page

Allikad:

pam_pwquality man page
pwscore man page
Turvaliste paroolide valimine – Bruce Schneier

Kasulikud lingid:

Lorrie Faith Cranor arutab oma parooliuuringutega CMUs
kuulus xkcd karikatuur entropiast
kuulus xkcd karikatuur entropiast

Allikas: habr.com