יצירת מדיניות סיסמאות בלינוקס

שוב שלום! הלימודים בקבוצת הקורסים החדשה מתחילים מחר "מנהל לינוקס", בהקשר זה, אנו מפרסמים מאמר שימושי בנושא.

במדריך הקודם סיפרנו לכם כיצד להשתמש pam_cracklibלהפוך סיסמאות במערכות למורכבות יותר רד האט 6 או CentOS. ב-Red Hat 7 pam_pwquality הוחלף cracklib כמו pam מודול ברירת מחדל לבדיקת סיסמאות. מודול pam_pwquality נתמך גם באובונטו וב-CentOS, כמו גם במערכות הפעלה רבות אחרות. מודול זה מקל על יצירת מדיניות סיסמאות כדי להבטיח שהמשתמשים יקבלו את תקני חוזק הסיסמה שלך.

במשך זמן רב, הגישה הנפוצה לסיסמאות הייתה לאלץ את המשתמש להשתמש באותיות רישיות, קטנות, מספרים או סמלים אחרים. כללים בסיסיים אלה למורכבות סיסמאות זכו לקידום נרחב במהלך עשר השנים האחרונות. היו הרבה דיונים בשאלה אם זה נוהג טוב או לא. הטיעון העיקרי נגד קביעת תנאים מורכבים כל כך היה שמשתמשים רושמים סיסמאות על פיסות נייר ומאחסנים אותן בצורה לא מאובטחת.

מדיניות נוספת שהוטלה בספק לאחרונה מאלצת משתמשים לשנות את הסיסמאות שלהם כל x ימים. היו כמה מחקרים שהראו שזה גם פוגע בבטיחות.

על נושא הדיונים הללו נכתבו מאמרים רבים, המבססים נקודת מבט כזו או אחרת. אבל לא על זה נדון במאמר זה. מאמר זה ידבר על איך להגדיר נכון את מורכבות הסיסמה במקום לנהל את מדיניות האבטחה.

הגדרות מדיניות סיסמאות

להלן תראה את אפשרויות מדיניות הסיסמאות ותיאור קצר של כל אחת מהן. רבים מהם דומים לפרמטרים במודול cracklib. גישה זו מקלה על העברה של המדיניות שלך מהמערכת הישנה.

• דיפוק - מספר התווים בסיסמה החדשה שלך שאסור להופיע בסיסמה הישנה שלך. (ברירת מחדל 5)
• טחנה - אורך סיסמה מינימלי. (ברירת מחדל 9)
• ucredit – המספר המרבי של זיכויים לשימוש בתווים רישיות (אם פרמטר > 0), או המספר המינימלי הנדרש של תווים רישיות (אם פרמטר < 0). ברירת המחדל היא 1.
• קרדיט — המספר המרבי של זיכויים לשימוש באותיות קטנות (אם פרמטר > 0), או המספר המינימלי הנדרש של תווים קטנים (אם פרמטר < 0). ברירת המחדל היא 1.
• dcredit — המספר המרבי של זיכויים לשימוש בספרות (אם פרמטר > 0), או המספר המינימלי הנדרש של ספרות (אם פרמטר < 0). ברירת המחדל היא 1.
• אוקרדיט — המספר המרבי של זיכויים לשימוש בסמלים אחרים (אם פרמטר > 0), או המספר המינימלי הנדרש של סמלים אחרים (אם פרמטר < 0). ברירת המחדל היא 1.
• מחלקה קטנה - מגדיר את מספר השיעורים הנדרשים. השיעורים כוללים את הפרמטרים שלעיל (אותיות רישיות, אותיות קטנות, מספרים, תווים אחרים). ברירת המחדל היא 0.
• maxrepeat – מספר הפעמים המרבי שניתן לחזור על תו בסיסמה. ברירת המחדל היא 0.
• maxclassrepeat - המספר המרבי של תווים עוקבים במחלקה אחת. ברירת המחדל היא 0.
• gecoscheck – בודק אם הסיסמה מכילה מילים כלשהן ממחרוזות GECOS של המשתמש. (פרטי משתמש, כלומר שם אמיתי, מיקום וכו') ברירת המחדל היא 0 (כבוי).
• dictpath – בוא נלך למילוני קראקליב.
• מילים רעות – מילים מופרדות ברווחים האסורות בסיסמאות (שם החברה, המילה "סיסמה" וכו').

אם המושג הלוואות נשמע מוזר, זה בסדר, זה נורמלי. נדבר על כך יותר בסעיפים הבאים.

תצורת מדיניות סיסמאות

לפני שתתחיל לערוך קובצי תצורה, מומלץ לרשום מראש מדיניות סיסמאות בסיסית. לדוגמה, נשתמש בכללי הקושי הבאים:

• הסיסמה חייבת להיות באורך מינימלי של 15 תווים.
• אין לחזור על אותו תו יותר מפעמיים בסיסמה.
• ניתן לחזור על שיעורי תווים עד ארבע פעמים בסיסמה.
• הסיסמה חייבת להכיל תווים מכל מחלקה.
• הסיסמה החדשה חייבת לכלול 5 תווים חדשים בהשוואה לזו הישנה.
• אפשר בדיקת GECOS.
• לאסור את המילים "סיסמה, מעבר, מילה, פוטוריוס"

כעת, לאחר שקבענו את המדיניות, אנו יכולים לערוך את הקובץ /etc/security/pwquality.confכדי להגביר את דרישות מורכבות הסיסמה. להלן קובץ לדוגמה עם הערות להבנה טובה יותר.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

כפי שאולי שמתם לב, כמה פרמטרים בקובץ שלנו מיותרים. למשל, הפרמטר minclass הוא מיותר מכיוון שאנו כבר משתמשים לפחות בשני תווים מהמחלקה באמצעות שדות [u,l,d,o]credit. גם רשימת המילים שלנו שלא ניתן להשתמש בהן מיותרת, מכיוון שאסרנו לחזור על כל מחלקה 4 פעמים (כל המילים ברשימה שלנו כתובות באותיות קטנות). כללתי אפשרויות אלה רק כדי להדגים כיצד להשתמש בהן כדי להגדיר את מדיניות הסיסמאות שלך.
לאחר שיצרת את המדיניות שלך, תוכל לאלץ משתמשים לשנות את הסיסמאות שלהם בפעם הבאה שהם יתחברו. מערכת.

עוד דבר מוזר שאולי שמתם לב הוא שהשדות [u,l,d,o]credit מכיל מספר שלילי. הסיבה לכך היא שמספרים שווים או גדולים מ-0 יתנו קרדיט על השימוש בתו בסיסמה שלך. אם השדה מכיל מספר שלילי, זה אומר שנדרשת כמות מסוימת.

מהן הלוואות?

אני קורא להם הלוואות כי זה מעביר את המטרה שלהם בצורה הכי מדויקת שאפשר. אם ערך הפרמטר גדול מ-0, אתה מוסיף מספר "קרדיטים של תווים" השווים ל-"x" לאורך הסיסמה. לדוגמה, אם כל הפרמטרים (u,l,d,o)credit מוגדר ל-1 ואורך הסיסמה הנדרש היה 6, אז תזדקק ל-6 תווים כדי לעמוד בדרישת האורך מכיוון שכל אות רישיות, אות קטנות, ספרה או תו אחר יעניקו לך קרדיט אחד.

אם תתקין dcredit ב-2, באופן תיאורטי, תוכל להשתמש בסיסמה באורך 9 תווים ולקבל נקודות זכות של 2 תווים למספרים, ואז אורך הסיסמה כבר יכול להיות 10.

תסתכל על הדוגמה הזו. הגדרתי את אורך הסיסמה ל-13, הגדרתי dcredit ל-2, וכל השאר ל-0.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

הבדיקה הראשונה שלי נכשלה מכיוון שהסיסמה הייתה באורך של פחות מ-13 תווים. בפעם הבאה שיניתי את האות "I" למספר "1" וקיבלתי שני זיכויים עבור המספרים, מה שהפך את הסיסמה לשווה ל-13.

בדיקת סיסמאות

חבילה libpwquality מספק את הפונקציונליות המתוארת במאמר. זה מגיע גם עם תוכנית pwscore, שנועד לבדוק את מורכבות הסיסמה. השתמשנו בו למעלה כדי לבדוק הלוואות.
שירות pwscore קורא מ סטדין. פשוט הפעל את כלי השירות וכתוב את הסיסמה שלך, היא תציג שגיאה או ערך מ-0 עד 100.

ציון איכות הסיסמה קשור לפרמטר minlen בקובץ התצורה. באופן כללי, ציון של פחות מ-50 נחשב ל"סיסמה רגילה", וציון מעליו נחשב ל"סיסמה חזקה". כל סיסמה שעוברת בדיקות איכות (במיוחד אימות כפוי cracklib) חייב לעמוד בהתקפות מילון, וסיסמה עם ציון מעל 50 עם ההגדרה minlen אפילו כברירת מחדל brute force התקפות.

מסקנה

התאמה pwquality - זה קל ופשוט בהשוואה לאי הנוחות שבשימוש cracklib עם עריכת קבצים ישירה pam. במדריך זה, כיסינו את כל מה שתצטרכו בעת הגדרת מדיניות סיסמאות במערכות Red Hat 7, CentOS 7 ואפילו אובונטו. דיברנו גם על המושג הלוואות, שלעתים נדירות נכתבים עליו בפירוט, ולכן נושא זה נותר לעתים קרובות לא ברור למי שלא נתקל בו בעבר.

מקורות:

דף אדם של pwquality
דף אדם של pam_pwquality
pwscore דף אדם

קישורים שימושיים:

בחירת סיסמאות מאובטחות - ברוס שנייר
לורי פיית' קראנור דנה בלימודי הסיסמאות שלה ב-CMU
הקריקטורה הידועה לשמצה xkcd על אנטרופיה

מקור: www.habr.com