Linux에서 비밀번호 정책 생성

다시 한번 안녕하세요! 새 강좌 그룹의 수업이 내일부터 시작됩니다. "리눅스 관리자", 이와 관련하여 우리는 주제에 대한 유용한 기사를 게시하고 있습니다.

이전 튜토리얼에서는 사용법을 알려드렸습니다. pam_cracklib시스템의 비밀번호를 더 복잡하게 만들기 위해 Red Hat 6 또는 CentOS. 레드햇 7에서 pam_pwquality 교체 cracklib 으로 pam 비밀번호 확인을 위한 기본 모듈. 기준 치수 pam_pwquality Ubuntu 및 CentOS뿐만 아니라 기타 여러 OS에서도 지원됩니다. 이 모듈을 사용하면 사용자가 암호 강도 표준을 수락하도록 하는 암호 정책을 쉽게 만들 수 있습니다.

오랫동안 비밀번호에 대한 일반적인 접근 방식은 사용자가 대문자, 소문자, 숫자 또는 기타 기호를 사용하도록 하는 것이었습니다. 비밀번호 복잡성에 대한 이러한 기본 규칙은 지난 XNUMX년 동안 널리 홍보되었습니다. 이것이 좋은 관행인지 아닌지에 대해 많은 논의가 있었습니다. 이러한 복잡한 조건을 설정하는 것에 반대하는 주된 주장은 사용자가 종이에 비밀번호를 적어서 안전하지 않게 보관한다는 것이었습니다.

최근 의문의 여지가 있는 또 다른 정책은 사용자가 x일마다 비밀번호를 변경하도록 강제하고 있습니다. 이는 안전에도 해롭다는 연구 결과가 있습니다.

이러한 토론 주제에 대해 많은 기사가 작성되었으며 이는 하나의 관점 또는 다른 관점을 입증합니다. 그러나 이것은 이 기사에서 논의할 내용이 아닙니다. 이 기사에서는 보안 정책을 관리하기보다는 비밀번호 복잡성을 올바르게 설정하는 방법에 대해 설명합니다.

비밀번호 정책 설정

아래에는 비밀번호 정책 옵션과 각 옵션에 대한 간략한 설명이 나와 있습니다. 그 중 다수는 모듈의 매개변수와 유사합니다. cracklib. 이 접근 방식을 사용하면 기존 시스템에서 정책을 더 쉽게 포팅할 수 있습니다.

• 디포크 – 이전 비밀번호에 있어서는 안 되는 새 비밀번호의 문자 수입니다. (기본값 5)
• Minlen – 최소 비밀번호 길이. (기본값 9)
• 무신용 – 대문자 사용을 위한 최대 크레딧 수(매개변수 > 0인 경우) 또는 최소 필수 대문자 수(매개변수 < 0인 경우). 기본값은 1입니다.
• 신용 — 소문자 사용에 필요한 최대 크레딧 수(매개변수 > 0인 경우) 또는 필요한 최소 소문자 수(매개변수 < 0인 경우)입니다. 기본값은 1입니다.
• 신용 거래 — 숫자 사용에 필요한 최대 크레딧 수(매개변수 > 0인 경우) 또는 필요한 최소 숫자 수(매개변수 < 0인 경우)입니다. 기본값은 1입니다.
• 그는 믿는다 — 다른 기호를 사용하기 위한 최대 크레딧 수(매개변수 > 0인 경우) 또는 필요한 최소 기타 기호 수(매개변수 < 0인 경우). 기본값은 1입니다.
• 최소 클래스 – 필요한 수업 수를 설정합니다. 클래스에는 위의 매개변수(대문자, 소문자, 숫자, 기타 문자)가 포함됩니다. 기본값은 0입니다.
• 최대 반복 – 비밀번호에서 문자가 반복될 수 있는 최대 횟수입니다. 기본값은 0입니다.
• 최대 클래스 반복 — 한 클래스의 최대 연속 문자 수입니다. 기본값은 0입니다.
• 지오체크 – 비밀번호에 사용자 GECOS 문자열의 단어가 포함되어 있는지 확인합니다. (사용자 정보, 즉 실명, 위치 등) 기본값은 0(끄기)입니다.
• dictpath – cracklib 사전으로 가봅시다.
• 나쁜 말 – 비밀번호에 금지되는 공백으로 구분된 단어(회사명, “비밀번호”라는 단어 등).

대출이라는 개념이 이상하게 들리더라도 괜찮습니다. 정상입니다. 이에 대해서는 다음 섹션에서 자세히 설명하겠습니다.

비밀번호 정책 구성

구성 파일 편집을 시작하기 전에 기본 비밀번호 정책을 미리 적어 두는 것이 좋습니다. 예를 들어 다음과 같은 난이도 규칙을 사용합니다.

• 비밀번호는 최소 15자 이상이어야 합니다.
• 비밀번호에 동일한 문자가 두 번 이상 반복되어서는 안 됩니다.
• 문자 클래스는 비밀번호에서 최대 XNUMX번까지 반복될 수 있습니다.
• 비밀번호에는 각 클래스의 문자가 포함되어야 합니다.
• 새 비밀번호는 이전 비밀번호와 비교하여 5개의 새로운 문자를 포함해야 합니다.
• GECOS 확인을 활성화합니다.
• “password, pass, word, putorius”라는 단어를 금지합니다.

이제 정책을 마련했으므로 파일을 편집할 수 있습니다. /etc/security/pwquality.conf암호 복잡성 요구 사항을 증가시킵니다. 아래는 이해를 돕기 위한 설명이 포함된 예시 파일입니다.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

아시다시피 파일의 일부 매개변수는 중복됩니다. 예를 들어, 매개변수 minclass 필드를 사용하여 클래스에서 이미 두 개 이상의 문자를 사용하고 있으므로 중복됩니다. [u,l,d,o]credit. 사용할 수 없는 단어 목록도 중복됩니다. 모든 클래스를 4번 반복하는 것을 금지했기 때문입니다(목록의 모든 단어는 소문자로 작성됨). 이러한 옵션은 비밀번호 정책을 구성하는 데 사용하는 방법을 보여주기 위해서만 포함되었습니다.
정책을 생성한 후에는 사용자가 다음에 로그인할 때 비밀번호를 변경하도록 강제할 수 있습니다. 체계.

여러분이 알아차렸을 수도 있는 또 다른 이상한 점은 필드가 [u,l,d,o]credit 음수가 포함되어 있습니다. 이는 0보다 크거나 같은 숫자가 비밀번호에 해당 문자를 사용한 공로를 인정하기 때문입니다. 필드에 음수가 포함되어 있으면 특정 수량이 필요하다는 의미입니다.

대출이란 무엇입니까?

나는 그것을 대출이라고 부른다. 왜냐하면 그것이 그 목적을 가능한 한 정확하게 전달하기 때문이다. 매개변수 값이 0보다 큰 경우 비밀번호 길이에 "x"와 동일한 "문자 크레딧" 수를 추가합니다. 예를 들어, 모든 매개변수가 (u,l,d,o)credit 1로 설정하고 필요한 비밀번호 길이가 6인 경우 각 대문자, 소문자, 숫자 또는 기타 문자가 하나의 크레딧을 제공하므로 길이 요구 사항을 충족하려면 6자가 필요합니다.

당신이 설치하는 경우 dcredit 2에서는 이론적으로 9자 길이의 비밀번호를 사용하고 숫자에 대해 2자 크레딧을 얻을 수 있으며 비밀번호 길이는 이미 10일 수 있습니다.

이 예를 보세요. 비밀번호 길이를 13으로 설정하고 dcredit를 2로 설정하고 나머지는 모두 0으로 설정했습니다.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

비밀번호 길이가 13자 미만이어서 첫 번째 확인에 실패했습니다. 다음번에 문자 "I"를 숫자 "1"로 변경하고 해당 숫자에 대해 13크레딧을 얻었으므로 비밀번호는 XNUMX이 되었습니다.

비밀번호 테스트

패키지 libpwquality 기사에 설명된 기능을 제공합니다. 프로그램도 같이 나오네요 pwscore, 비밀번호 복잡성을 확인하도록 설계되었습니다. 위에서는 대출을 확인하는 데 사용했습니다.
공익 사업 pwscore 에서 읽습니다 표준. 유틸리티를 실행하고 비밀번호를 입력하면 오류 또는 0~100 사이의 값이 표시됩니다.

비밀번호 품질 점수는 매개변수와 관련이 있습니다. minlen 구성 파일에서. 일반적으로 50점 미만의 점수는 “보통 비밀번호”로 간주되며, 그 이상의 점수는 “강력한 비밀번호”로 간주됩니다. 품질 검사(특히 강제 검증)를 통과한 모든 비밀번호 cracklib) 사전 공격을 견뎌야 하며, 설정으로 50점 이상의 비밀번호를 사용해야 합니다. minlen 기본적으로도 brute force 공격.

결론

조정 pwquality – 사용의 불편함에 비해 쉽고 간편하다 cracklib 직접 파일 편집으로 pam. 이 가이드에서는 Red Hat 7, CentOS 7 및 Ubuntu 시스템에서 비밀번호 정책을 설정할 때 필요한 모든 내용을 다루었습니다. 우리는 또한 자세히 설명되는 경우가 거의없는 대출 개념에 대해서도 이야기했기 때문에 이전에 접하지 않은 사람들에게는이 주제가 종종 불분명했습니다.

출처 :

pwquality 매뉴얼 페이지
pam_pwquality 매뉴얼 페이지
pwscore 매뉴얼 페이지

유용한 링크 :

안전한 비밀번호 선택 – Bruce Schneier
Lorrie Faith Cranor가 CMU에서의 비밀번호 연구에 대해 이야기합니다.
엔트로피에 대한 악명 높은 xkcd 만화

출처 : habr.com