लिनक्स में पासवर्ड नीति बनाना

फिर से हैलो! नए पाठ्यक्रम समूह की कक्षाएं कल से शुरू होंगी "लिनक्स प्रशासक"इस संबंध में हम इस विषय पर एक उपयोगी लेख प्रकाशित कर रहे हैं।

पिछले ट्यूटोरियल में हमने आपको बताया था कि कैसे उपयोग करें pam_cracklibसिस्टम पर पासवर्ड को और अधिक जटिल बनाने के लिए रेड हैट 6 या CentOS. रेड हैट 7 में pam_pwquality जगह ले ली cracklib जैसा pam पासवर्ड जांचने के लिए डिफ़ॉल्ट मॉड्यूल। मापांक pam_pwquality यह Ubuntu और CentOS के साथ-साथ कई अन्य OSes पर भी समर्थित है। यह मॉड्यूल यह सुनिश्चित करने के लिए पासवर्ड नीतियां बनाना आसान बनाता है कि उपयोगकर्ता आपके पासवर्ड ताकत मानकों को स्वीकार करते हैं।

लंबे समय तक, पासवर्ड के लिए सामान्य दृष्टिकोण उपयोगकर्ता को अपरकेस, लोअरकेस, संख्याओं या अन्य प्रतीकों का उपयोग करने के लिए मजबूर करना था। पासवर्ड जटिलता के लिए इन बुनियादी नियमों को पिछले दस वर्षों में व्यापक रूप से प्रचारित किया गया है। इस बात पर काफ़ी चर्चा हुई है कि यह अच्छा अभ्यास है या नहीं। ऐसी जटिल स्थितियाँ स्थापित करने के विरुद्ध मुख्य तर्क यह था कि उपयोगकर्ता कागज के टुकड़ों पर पासवर्ड लिखते हैं और उन्हें असुरक्षित रूप से संग्रहीत करते हैं।

एक अन्य नीति जिस पर हाल ही में सवाल उठाया गया है, उपयोगकर्ताओं को हर x दिन में अपना पासवर्ड बदलने के लिए मजबूर करती है। कुछ अध्ययन हुए हैं जिनसे पता चला है कि यह सुरक्षा के लिए भी हानिकारक है।

इन चर्चाओं के विषय पर कई लेख लिखे गए हैं, जो किसी न किसी दृष्टिकोण की पुष्टि करते हैं। लेकिन यह वह नहीं है जिस पर हम इस लेख में चर्चा करेंगे। यह आलेख सुरक्षा नीति को प्रबंधित करने के बजाय पासवर्ड जटिलता को सही ढंग से सेट करने के तरीके के बारे में बात करेगा।

पासवर्ड नीति सेटिंग्स

नीचे आपको पासवर्ड नीति विकल्प और प्रत्येक का संक्षिप्त विवरण दिखाई देगा। उनमें से कई मॉड्यूल के मापदंडों के समान हैं cracklib. यह दृष्टिकोण आपकी नीतियों को विरासत प्रणाली से पोर्ट करना आसान बनाता है।

• मुझे माफ़ करें - आपके नए पासवर्ड में वर्णों की संख्या जो आपके पुराने पासवर्ड में मौजूद नहीं होनी चाहिए। (डिफ़ॉल्ट 5)
• मीनल – न्यूनतम पासवर्ड लंबाई. (डिफ़ॉल्ट 9)
• ucredit - अपरकेस वर्णों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर > 0), या अपरकेस वर्णों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर < 0)। डिफ़ॉल्ट 1 है.
• क्रेडिट - लोअरकेस वर्णों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर > 0), या लोअरकेस वर्णों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर <0)। डिफ़ॉल्ट 1 है.
• श्रेय - अंकों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर > 0), या अंकों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर < 0)। डिफ़ॉल्ट 1 है.
• वह मानता है - अन्य प्रतीकों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर > 0), या अन्य प्रतीकों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर < 0)। डिफ़ॉल्ट 1 है.
• minclass - आवश्यक कक्षाओं की संख्या निर्धारित करता है। कक्षाओं में उपरोक्त पैरामीटर (अपर केस वर्ण, लोअर केस वर्ण, संख्याएं, अन्य वर्ण) शामिल हैं। डिफ़ॉल्ट 0 है.
• maxrepeat - पासवर्ड में एक अक्षर अधिकतम कितनी बार दोहराया जा सकता है। डिफ़ॉल्ट 0 है.
• maxclassrepeat - एक वर्ग में लगातार वर्णों की अधिकतम संख्या। डिफ़ॉल्ट 0 है.
• gecoscheck - जाँचता है कि पासवर्ड में उपयोगकर्ता के GECOS स्ट्रिंग्स से कोई शब्द है या नहीं। (उपयोगकर्ता जानकारी, यानी वास्तविक नाम, स्थान, आदि) डिफ़ॉल्ट 0 (बंद) है।
• तानाशाही पथ -आइए क्रैकलिब शब्दकोशों पर चलते हैं।
• बुरे शब्द - स्पेस-पृथक शब्द जो पासवर्ड में निषिद्ध हैं (कंपनी का नाम, शब्द "पासवर्ड", आदि)।

यदि ऋण की अवधारणा अजीब लगती है, तो कोई बात नहीं, यह सामान्य है। हम निम्नलिखित अनुभागों में इसके बारे में अधिक बात करेंगे।

पासवर्ड नीति कॉन्फ़िगरेशन

इससे पहले कि आप कॉन्फ़िगरेशन फ़ाइलों का संपादन शुरू करें, एक बुनियादी पासवर्ड नीति पहले से लिख लेना एक अच्छा अभ्यास है। उदाहरण के लिए, हम निम्नलिखित कठिनाई नियमों का उपयोग करेंगे:

• पासवर्ड की न्यूनतम लंबाई 15 अक्षर होनी चाहिए।
• पासवर्ड में एक ही अक्षर दो बार से अधिक दोहराया नहीं जाना चाहिए।
• पासवर्ड में वर्ण वर्गों को चार बार तक दोहराया जा सकता है।
• पासवर्ड में प्रत्येक वर्ग के अक्षर होने चाहिए।
• नए पासवर्ड में पुराने पासवर्ड की तुलना में 5 नए अक्षर होने चाहिए।
• GECOS जाँच सक्षम करें.
• "पासवर्ड, पास, वर्ड, पुटोरियस" शब्दों को प्रतिबंधित करें

अब जब हमने नीति बना ली है, तो हम फ़ाइल को संपादित कर सकते हैं /etc/security/pwquality.confपासवर्ड जटिलता आवश्यकताओं को बढ़ाने के लिए। बेहतर समझ के लिए टिप्पणियों के साथ नीचे एक उदाहरण फ़ाइल है।

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

जैसा कि आपने देखा होगा, हमारी फ़ाइल में कुछ पैरामीटर अनावश्यक हैं। उदाहरण के लिए, पैरामीटर minclass अनावश्यक है क्योंकि हम पहले से ही फ़ील्ड का उपयोग करके कक्षा से कम से कम दो वर्णों का उपयोग कर चुके हैं [u,l,d,o]credit. जिन शब्दों का उपयोग नहीं किया जा सकता उनकी हमारी सूची भी अनावश्यक है, क्योंकि हमने किसी भी कक्षा को 4 बार दोहराने पर रोक लगा दी है (हमारी सूची के सभी शब्द छोटे अक्षरों में लिखे गए हैं)। मैंने इन विकल्पों को केवल यह प्रदर्शित करने के लिए शामिल किया है कि आपकी पासवर्ड नीति को कॉन्फ़िगर करने के लिए उनका उपयोग कैसे किया जाए।
एक बार जब आप अपनी नीति बना लेते हैं, तो आप उपयोगकर्ताओं को अगली बार लॉग इन करते समय अपना पासवर्ड बदलने के लिए बाध्य कर सकते हैं। प्रणाली.

एक और अजीब चीज़ जो आपने देखी होगी वह है खेत [u,l,d,o]credit एक ऋणात्मक संख्या शामिल है. ऐसा इसलिए है क्योंकि 0 से अधिक या उसके बराबर संख्याएं आपके पासवर्ड में वर्ण का उपयोग करने का श्रेय देंगी। यदि फ़ील्ड में ऋणात्मक संख्या है, तो इसका मतलब है कि एक निश्चित मात्रा की आवश्यकता है।

ऋण क्या हैं?

मैं उन्हें ऋण कहता हूं क्योंकि यह उनके उद्देश्य को यथासंभव सटीक रूप से बताता है। यदि पैरामीटर मान 0 से अधिक है, तो आप पासवर्ड की लंबाई में "x" के बराबर "वर्ण क्रेडिट" की एक संख्या जोड़ते हैं। उदाहरण के लिए, यदि सभी पैरामीटर (u,l,d,o)credit 1 पर सेट करें और आवश्यक पासवर्ड लंबाई 6 थी, तो आपको लंबाई की आवश्यकता को पूरा करने के लिए 6 अक्षरों की आवश्यकता होगी क्योंकि प्रत्येक अपरकेस, लोअरकेस, अंक या अन्य अक्षर आपको एक क्रेडिट देगा।

यदि आप स्थापित करें dcredit 2 पर, आप सैद्धांतिक रूप से 9 अक्षर लंबे पासवर्ड का उपयोग कर सकते हैं और संख्याओं के लिए 2 अक्षर क्रेडिट प्राप्त कर सकते हैं, और फिर पासवर्ड की लंबाई पहले से ही 10 हो सकती है।

इस उदाहरण को देखिये. मैंने पासवर्ड की लंबाई 13 पर सेट की, dcredit को 2 पर सेट किया, और बाकी सभी चीज़ों को 0 पर सेट किया।

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

मेरा पहला चेक विफल हो गया क्योंकि पासवर्ड 13 अक्षरों से कम लंबा था। अगली बार मैंने "I" अक्षर को संख्या "1" में बदल दिया और संख्याओं के लिए दो क्रेडिट प्राप्त किए, जिससे पासवर्ड 13 के बराबर हो गया।

पासवर्ड परीक्षण

पैकेज libpwquality आलेख में वर्णित कार्यक्षमता प्रदान करता है। यह एक प्रोग्राम के साथ भी आता है pwscore, जिसे पासवर्ड जटिलता की जांच करने के लिए डिज़ाइन किया गया है। हमने ऋणों की जांच के लिए इसका उपयोग ऊपर किया।
उपयोगिता pwscore से पढ़ता है stdin. बस उपयोगिता चलाएं और अपना पासवर्ड लिखें, यह 0 से 100 तक एक त्रुटि या मान प्रदर्शित करेगा।

पासवर्ड गुणवत्ता स्कोर पैरामीटर से संबंधित है minlen कॉन्फ़िगरेशन फ़ाइल में. सामान्य तौर पर, 50 से कम का स्कोर "सामान्य पासवर्ड" माना जाता है, और इससे ऊपर का स्कोर "मजबूत पासवर्ड" माना जाता है। कोई भी पासवर्ड जो गुणवत्ता जांच (विशेष रूप से जबरन सत्यापन) से गुजरता है cracklib) को शब्दकोश हमलों का सामना करना होगा, और सेटिंग के साथ 50 से ऊपर स्कोर वाला पासवर्ड होना चाहिए minlen डिफ़ॉल्ट रूप से भी brute force हमला करता है।

निष्कर्ष

समायोजन pwquality - उपयोग की असुविधा की तुलना में यह आसान और सरल है cracklib प्रत्यक्ष फ़ाइल संपादन के साथ pam. इस गाइड में, हमने Red Hat 7, CentOS 7 और यहां तक ​​कि Ubuntu सिस्टम पर पासवर्ड नीतियां सेट करते समय आपकी आवश्यकता वाली सभी चीजें शामिल की हैं। हमने ऋण की अवधारणा के बारे में भी बात की, जिसके बारे में शायद ही कभी विस्तार से लिखा गया हो, इसलिए यह विषय अक्सर उन लोगों के लिए अस्पष्ट रहा, जिन्होंने पहले इसका सामना नहीं किया था।

सूत्रों का कहना है:

pwquality मैन पेज
pam_pwquality मैन पेज
pwscore मैन पेज

उपयोगी लिंक्स:

सुरक्षित पासवर्ड चुनना - ब्रूस श्नीयर
लॉरी फेथ क्रैनर सीएमयू में अपने पासवर्ड अध्ययन पर चर्चा करती हैं
एन्ट्रॉपी पर कुख्यात xkcd कार्टून

स्रोत: www.habr.com