ការបង្កើតគោលការណ៍ពាក្យសម្ងាត់នៅក្នុងលីនុច

ជំរាបសួរ​ជា​ថ្មី​ម្តង​ទៀត! ថ្នាក់នៅក្នុងក្រុមវគ្គសិក្សាថ្មីចាប់ផ្តើមនៅថ្ងៃស្អែក "អ្នកគ្រប់គ្រងលីនុច"ក្នុងន័យនេះ យើងកំពុងបោះពុម្ពអត្ថបទដែលមានប្រយោជន៍លើប្រធានបទ។

នៅក្នុងមេរៀនមុន យើងបានប្រាប់អ្នកពីរបៀបប្រើ pam_cracklibដើម្បីធ្វើឱ្យពាក្យសម្ងាត់នៅលើប្រព័ន្ធកាន់តែស្មុគស្មាញ មួកក្រហម ៦ ឬ CentOS ។ ក្នុង Red Hat ៧ pam_pwquality បានជំនួស cracklib as pam ម៉ូឌុលលំនាំដើមសម្រាប់ពិនិត្យពាក្យសម្ងាត់។ ម៉ូឌុល pam_pwquality គាំទ្រផងដែរនៅលើ Ubuntu និង CentOS ក៏ដូចជា OS ជាច្រើនទៀត។ ម៉ូឌុលនេះធ្វើឱ្យវាងាយស្រួលក្នុងការបង្កើតគោលការណ៍ពាក្យសម្ងាត់ ដើម្បីធានាថាអ្នកប្រើប្រាស់ទទួលយកស្តង់ដារភាពរឹងមាំនៃពាក្យសម្ងាត់របស់អ្នក។

អស់រយៈពេលជាយូរមកហើយ វិធីសាស្រ្តទូទៅចំពោះពាក្យសម្ងាត់គឺដើម្បីបង្ខំអ្នកប្រើប្រាស់ឱ្យប្រើអក្សរធំ អក្សរតូច លេខ ឬនិមិត្តសញ្ញាផ្សេងទៀត។ ច្បាប់ជាមូលដ្ឋានទាំងនេះសម្រាប់ភាពស្មុគស្មាញនៃពាក្យសម្ងាត់ត្រូវបានផ្សព្វផ្សាយយ៉ាងទូលំទូលាយក្នុងរយៈពេលដប់ឆ្នាំកន្លងមកនេះ។ មានការពិភាក្សាជាច្រើនអំពីថាតើនេះជាការអនុវត្តល្អឬអត់។ ទឡ្ហីករណ៍ចម្បងប្រឆាំងនឹងការកំណត់លក្ខខណ្ឌដ៏ស្មុគស្មាញនោះគឺអ្នកប្រើប្រាស់សរសេរពាក្យសម្ងាត់នៅលើក្រដាស ហើយរក្សាទុកវាដោយសុវត្ថិភាព។

គោលការណ៍មួយផ្សេងទៀតដែលថ្មីៗនេះត្រូវបានកោះហៅចូលទៅក្នុងសំណួរបង្ខំឱ្យអ្នកប្រើប្រាស់ផ្លាស់ប្តូរពាក្យសម្ងាត់របស់ពួកគេរៀងរាល់ x ថ្ងៃម្តង។ មាន​ការ​សិក្សា​មួយ​ចំនួន​ដែល​បាន​បង្ហាញ​ថា​នេះ​ក៏​មាន​គ្រោះថ្នាក់​ដល់​សុវត្ថិភាព​ផង​ដែរ។

អត្ថបទជាច្រើនត្រូវបានសរសេរលើប្រធានបទនៃការពិភាក្សាទាំងនេះ ដែលបញ្ជាក់ពីទស្សនៈមួយ ឬចំណុចផ្សេងទៀត។ ប៉ុន្តែនេះមិនមែនជាអ្វីដែលយើងនឹងពិភាក្សានៅក្នុងអត្ថបទនេះទេ។ អត្ថបទនេះនឹងនិយាយអំពីរបៀបកំណត់ភាពស្មុគស្មាញពាក្យសម្ងាត់ឱ្យបានត្រឹមត្រូវ ជាជាងគ្រប់គ្រងគោលការណ៍សុវត្ថិភាព។

ការកំណត់គោលការណ៍ពាក្យសម្ងាត់

ខាងក្រោមអ្នកនឹងឃើញជម្រើសគោលការណ៍ពាក្យសម្ងាត់ និងការពិពណ៌នាសង្ខេបអំពីនីមួយៗ។ ពួកវាជាច្រើនស្រដៀងនឹងប៉ារ៉ាម៉ែត្រនៅក្នុងម៉ូឌុល cracklib. វិធីសាស្រ្តនេះធ្វើឱ្យវាកាន់តែងាយស្រួលក្នុងការបញ្ជូនគោលនយោបាយរបស់អ្នកពីប្រព័ន្ធចាស់។

• ឌីហ្វូក - ចំនួនតួអក្សរនៅក្នុងពាក្យសម្ងាត់ថ្មីរបស់អ្នក ដែលមិនគួរមាននៅក្នុងពាក្យសម្ងាត់ចាស់របស់អ្នក។ (លំនាំដើម 5)
• មីនឡែន - ប្រវែងពាក្យសម្ងាត់អប្បបរមា។ (លំនាំដើម 9)
• ឥណទាន - ចំនួនអតិបរមានៃក្រេឌីតសម្រាប់ការប្រើប្រាស់តួអក្សរធំ (ប្រសិនបើប៉ារ៉ាម៉ែត្រ> 0) ឬចំនួនអប្បបរមាដែលត្រូវការនៃតួអក្សរធំ (ប្រសិនបើប៉ារ៉ាម៉ែត្រ < 0) ។ លំនាំដើមគឺ 1 ។
• ឥណទាន - ចំនួនអតិបរមានៃក្រេឌីតសម្រាប់ការប្រើប្រាស់តួអក្សរតូច (ប្រសិនបើប៉ារ៉ាម៉ែត្រ> 0) ឬចំនួនអប្បបរមាដែលត្រូវការនៃតួអក្សរតូច (ប្រសិនបើប៉ារ៉ាម៉ែត្រ < 0) ។ លំនាំដើមគឺ 1 ។
• dcredit - ចំនួនអតិបរមានៃក្រេឌីតសម្រាប់ការប្រើប្រាស់ខ្ទង់ (ប្រសិនបើប៉ារ៉ាម៉ែត្រ> 0) ឬចំនួនខ្ទង់ដែលត្រូវការអប្បបរមា (ប្រសិនបើប៉ារ៉ាម៉ែត្រ < 0) ។ លំនាំដើមគឺ 1 ។
• ឥណទាន - ចំនួនអតិបរមានៃឥណទានសម្រាប់ការប្រើប្រាស់និមិត្តសញ្ញាផ្សេងទៀត (ប្រសិនបើប៉ារ៉ាម៉ែត្រ> 0) ឬចំនួនអប្បបរមាដែលត្រូវការនៃនិមិត្តសញ្ញាផ្សេងទៀត (ប្រសិនបើប៉ារ៉ាម៉ែត្រ < 0) ។ លំនាំដើមគឺ 1 ។
• ថ្នាក់តូច - កំណត់ចំនួនថ្នាក់ដែលត្រូវការ។ ថ្នាក់រួមមានប៉ារ៉ាម៉ែត្រខាងលើ (អក្សរធំ អក្សរតូច លេខ តួអក្សរផ្សេងទៀត)។ លំនាំដើមគឺ 0 ។
• maxrepeat - ចំនួនដងអតិបរមាដែលតួអក្សរអាចត្រូវបានធ្វើម្តងទៀតនៅក្នុងពាក្យសម្ងាត់។ លំនាំដើមគឺ 0 ។
• maxclassrepeat - ចំនួនអតិបរមានៃតួអក្សរជាប់គ្នាក្នុងថ្នាក់មួយ។ លំនាំដើមគឺ 0 ។
• gecoscheck - ពិនិត្យមើលថាតើពាក្យសម្ងាត់មានពាក្យណាមួយពីខ្សែអក្សរ GECOS របស់អ្នកប្រើដែរឬទេ។ (ព័ត៌មានអ្នកប្រើប្រាស់ ឧ. ឈ្មោះពិត ទីតាំង។ល។) លំនាំដើមគឺ 0 (បិទ)។
• ផ្លូវបញ្ជា - តោះទៅវចនានុក្រម cracklib ។
• ពាក្យអាក្រក់ - ពាក្យ​បំបែក​ចន្លោះ​ដែល​ត្រូវ​បាន​ហាម​ឃាត់​ក្នុង​ពាក្យ​សម្ងាត់ (ឈ្មោះ​ក្រុមហ៊ុន ពាក្យ "លេខ​សម្ងាត់" ។ល។)

ប្រសិនបើគំនិតនៃប្រាក់កម្ចីស្តាប់ទៅចម្លែក វាមិនអីទេ វាជារឿងធម្មតា។ យើងនឹងនិយាយបន្ថែមទៀតអំពីរឿងនេះនៅក្នុងផ្នែកខាងក្រោម។

ការកំណត់រចនាសម្ព័ន្ធគោលការណ៍ពាក្យសម្ងាត់

មុនពេលអ្នកចាប់ផ្តើមកែសម្រួលឯកសារកំណត់រចនាសម្ព័ន្ធ វាជាការអនុវត្តល្អក្នុងការសរសេរគោលការណ៍ពាក្យសម្ងាត់ជាមូលដ្ឋានជាមុន។ ជាឧទាហរណ៍ យើងនឹងប្រើច្បាប់លំបាកខាងក្រោម៖

• ពាក្យសម្ងាត់ត្រូវមានប្រវែងយ៉ាងតិច 15 តួអក្សរ។
• តួអក្សរដូចគ្នាមិនគួរត្រូវបានធ្វើម្តងទៀតលើសពីពីរដងក្នុងពាក្យសម្ងាត់ទេ។
• ថ្នាក់តួអក្សរអាចត្រូវបានធ្វើម្តងទៀតរហូតដល់បួនដងនៅក្នុងពាក្យសម្ងាត់។
• ពាក្យសម្ងាត់ត្រូវតែមានតួអក្សរពីថ្នាក់នីមួយៗ។
• ពាក្យ​សម្ងាត់​ថ្មី​ត្រូវ​តែ​មាន​តួអក្សរ​ថ្មី 5 បើ​ធៀប​នឹង​លេខ​សម្ងាត់​ចាស់។
• បើកការត្រួតពិនិត្យ GECOS ។
• ហាមប្រើពាក្យ "password, pass, word, putorius"

ឥឡូវ​នេះ​យើង​បាន​ដាក់​ចេញ​គោលការណ៍​ហើយ យើង​អាច​កែសម្រួល​ឯកសារ​បាន។ /etc/security/pwquality.confដើម្បីបង្កើនតម្រូវការភាពស្មុគស្មាញនៃពាក្យសម្ងាត់។ ខាងក្រោមនេះជាឯកសារឧទាហរណ៍ដែលមានមតិយោបល់សម្រាប់ការយល់ដឹងកាន់តែច្បាស់។

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

ដូចដែលអ្នកប្រហែលជាបានកត់សម្គាល់ ប៉ារ៉ាម៉ែត្រមួយចំនួននៅក្នុងឯកសាររបស់យើងគឺលែងត្រូវការតទៅទៀត។ ឧទាហរណ៍ប៉ារ៉ាម៉ែត្រ minclass វា​មិន​លើស​ពី​ព្រោះ​យើង​ប្រើ​យ៉ាង​ហោច​ណាស់​តួអក្សរ​ពីរ​រួច​ហើយ​ពី​ថ្នាក់​ដោយ​ប្រើ​វាល [u,l,d,o]credit. បញ្ជី​ពាក្យ​ដែល​មិន​អាច​ប្រើ​បាន​ក៏​មិន​ប្រើ​ដដែលៗ​ដែរ ព្រោះ​យើង​បាន​ហាម​ឃាត់​ការ​ធ្វើ​ថ្នាក់​ណា​មួយ​ចំនួន 4 ដង (ពាក្យ​ទាំង​អស់​ក្នុង​បញ្ជី​របស់​យើង​ត្រូវ​បាន​សរសេរ​ជា​អក្សរ​តូច)។ ខ្ញុំបានបញ្ចូលជម្រើសទាំងនេះដើម្បីបង្ហាញពីរបៀបប្រើពួកវាដើម្បីកំណត់រចនាសម្ព័ន្ធគោលការណ៍ពាក្យសម្ងាត់របស់អ្នក។
នៅពេលដែលអ្នកបានបង្កើតគោលការណ៍របស់អ្នកហើយ អ្នកអាចបង្ខំអ្នកប្រើប្រាស់ឱ្យផ្លាស់ប្តូរពាក្យសម្ងាត់របស់ពួកគេនៅពេលក្រោយដែលពួកគេចូល។ ប្រព័ន្ធ.

រឿងចម្លែកមួយទៀតដែលអ្នកប្រហែលជាបានកត់សម្គាល់នោះគឺវាលស្រែ [u,l,d,o]credit មានលេខអវិជ្ជមាន។ នេះគឺដោយសារតែលេខធំជាង ឬស្មើ 0 នឹងផ្តល់ឥណទានសម្រាប់ការប្រើប្រាស់តួអក្សរនៅក្នុងពាក្យសម្ងាត់របស់អ្នក។ ប្រសិនបើវាលមានលេខអវិជ្ជមាន វាមានន័យថាត្រូវការបរិមាណជាក់លាក់។

តើប្រាក់កម្ចីមានអ្វីខ្លះ?

ខ្ញុំហៅពួកគេថាប្រាក់កម្ចី ពីព្រោះវាបង្ហាញពីគោលបំណងរបស់ពួកគេឱ្យបានត្រឹមត្រូវតាមដែលអាចធ្វើទៅបាន។ ប្រសិនបើតម្លៃប៉ារ៉ាម៉ែត្រធំជាង 0 អ្នកបន្ថែមចំនួន "ក្រេឌីតតួអក្សរ" ស្មើនឹង "x" ទៅប្រវែងពាក្យសម្ងាត់។ ឧទាហរណ៍ប្រសិនបើប៉ារ៉ាម៉ែត្រទាំងអស់។ (u,l,d,o)credit កំណត់ទៅ 1 ហើយប្រវែងពាក្យសម្ងាត់ដែលត្រូវការគឺ 6 បន្ទាប់មកអ្នកនឹងត្រូវការ 6 តួអក្សរដើម្បីបំពេញតម្រូវការប្រវែង ពីព្រោះអក្សរធំ អក្សរតូច ខ្ទង់ ឬតួអក្សរផ្សេងទៀតនឹងផ្តល់ឱ្យអ្នកនូវក្រេឌីតមួយ។

ប្រសិនបើអ្នកដំឡើង dcredit នៅលេខ 2 អ្នកអាចប្រើទ្រឹស្តីបទពាក្យសម្ងាត់ដែលមានប្រវែង 9 តួអក្សរ និងទទួលបាន 2 តួអក្សរសម្រាប់លេខ ហើយបន្ទាប់មកប្រវែងពាក្យសម្ងាត់អាចមាន 10 រួចហើយ។

សូមក្រឡេកមើលឧទាហរណ៍នេះ។ ខ្ញុំកំណត់ប្រវែងពាក្យសម្ងាត់ទៅ 13 កំណត់ dcredit ទៅ 2 និងអ្វីៗផ្សេងទៀតទៅជា 0 ។

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

ការឆែកឆេរលើកដំបូងរបស់ខ្ញុំបានបរាជ័យ ដោយសារពាក្យសម្ងាត់មានតិចជាង 13 តួអក្សរ។ នៅពេលបន្ទាប់ខ្ញុំបានប្តូរអក្សរ "ខ្ញុំ" ទៅលេខ "1" ហើយបានទទួលក្រេឌីតពីរសម្រាប់លេខដែលធ្វើឱ្យលេខសម្ងាត់ស្មើនឹង 13 ។

ការធ្វើតេស្តពាក្យសម្ងាត់

កញ្ចប់ libpwquality ផ្តល់នូវមុខងារដែលបានពិពណ៌នានៅក្នុងអត្ថបទ។ វាក៏ភ្ជាប់មកជាមួយកម្មវិធីផងដែរ។ pwscoreដែលត្រូវបានរចនាឡើងដើម្បីពិនិត្យមើលភាពស្មុគស្មាញនៃពាក្យសម្ងាត់។ យើងបានប្រើវាខាងលើដើម្បីពិនិត្យមើលប្រាក់កម្ចី។
ឧបករណ៍ប្រើប្រាស់ pwscore អានពី ស្តាឌីន. គ្រាន់តែដំណើរការឧបករណ៍ប្រើប្រាស់ ហើយសរសេរពាក្យសម្ងាត់របស់អ្នក វានឹងបង្ហាញ Error ឬតម្លៃពី 0 ទៅ 100។

ពិន្ទុគុណភាពពាក្យសម្ងាត់គឺទាក់ទងទៅនឹងប៉ារ៉ាម៉ែត្រ minlen នៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធ។ ជាទូទៅ ពិន្ទុតិចជាង 50 ត្រូវបានចាត់ទុកថាជា "ពាក្យសម្ងាត់ធម្មតា" ហើយពិន្ទុខាងលើវាត្រូវបានចាត់ទុកថាជា "ពាក្យសម្ងាត់ខ្លាំង" ។ ពាក្យសម្ងាត់ណាមួយដែលឆ្លងកាត់ការត្រួតពិនិត្យគុណភាព (ជាពិសេសការផ្ទៀងផ្ទាត់ដោយបង្ខំ cracklib) ត្រូវតែទប់ទល់នឹងការវាយប្រហារតាមវចនានុក្រម និងពាក្យសម្ងាត់ដែលមានពិន្ទុលើសពី 50 ជាមួយនឹងការកំណត់ minlen សូម្បីតែតាមលំនាំដើម brute force ការវាយប្រហារ។

សេចក្តីសន្និដ្ឋាន

ការលៃតម្រូវ pwquality - វាងាយស្រួលនិងសាមញ្ញបើប្រៀបធៀបទៅនឹងការរអាក់រអួលនៃការប្រើប្រាស់ cracklib ជាមួយនឹងការកែសម្រួលឯកសារដោយផ្ទាល់ pam. នៅក្នុងការណែនាំនេះ យើងបានគ្របដណ្តប់អ្វីគ្រប់យ៉ាងដែលអ្នកត្រូវការនៅពេលរៀបចំគោលការណ៍ពាក្យសម្ងាត់នៅលើ Red Hat 7, CentOS 7 និងសូម្បីតែប្រព័ន្ធ Ubuntu ។ យើងក៏បាននិយាយអំពីគំនិតនៃប្រាក់កម្ចីដែលកម្រនឹងសរសេរអំពីលម្អិត ដូច្នេះប្រធានបទនេះជារឿយៗនៅតែមិនច្បាស់លាស់សម្រាប់អ្នកដែលមិនធ្លាប់ជួបប្រទះវាពីមុនមក។

ប្រភព:

ទំព័របុរស pwquality
pam_pwquality man page
ទំព័របុរស pwscore

បណ្តាញភ្ជាប់មានប្រយោជន៍:

ការជ្រើសរើសពាក្យសម្ងាត់សុវត្ថិភាព - Bruce Schneier
Lorrie Faith Cranor ពិភាក្សាអំពីការសិក្សាពាក្យសម្ងាត់របស់នាងនៅ CMU
រូបថ្លុក xkcd ដ៏អាក្រក់នៅលើ Entropy

ប្រភព: www.habr.com