Sveiki atkal! Jau rÄ«t sÄkas nodarbÄ«bas jaunajÄ kursa grupÄ , tÄpÄc publicÄjam noderÄ«gu rakstu par Å”o tÄmu.
IepriekÅ”ÄjÄ pamÄcÄ«bÄ mÄs aprakstÄ«jÄm, kÄ izmantot pam_cracklib, lai sarežģītu paroles sistÄmÄs vai CentOS. Red Hat 7 pam_pwquality aizvietoja cracklib kÄ pam noklusÄjuma moduli parolÄm. Modulis pam_pwquality tiek atbalstÄ«ts arÄ« Ubuntu un CentOS, kÄ arÄ« citÄs operÄtÄjsistÄmÄs. Å is modulis atvieglo paroļu politiku izveidi, lai nodroÅ”inÄtu, ka lietotÄji ievÄro jÅ«su kompleksitÄtes standartus.
Ilgu laiku ierastÄ pieeja parolÄm bija piespiest lietotÄjus izmantot lielos un mazos burtus, ciparus vai citus simbolus. Å ie pamata paroļu sarežģītÄ«bas noteikumi pÄdÄjo desmit gadu laikÄ ir aktÄ«vi popularizÄti. Ir bijuÅ”as daudzas diskusijas par to, vai tas ir labas prakses piemÄrs. Galvenais arguments pret Å”Ädu sarežģītu nosacÄ«jumu ievieÅ”anu bija tas, ka lietotÄji pieraksta paroles uz papÄ«ra un tÄs glabÄ nedroÅ”i.
VÄl viena politika, kas nesen tika apÅ”aubÄ«ta, ir pienÄkums lietotÄjiem mainÄ«t savas paroles katras x dienas. Ir veikti pÄtÄ«jumi, kas pierÄdÄ«juÅ”i, ka tas arÄ« kaitÄ droŔībai.
Par Å”o diskusiju tÄmu ir uzrakstÄ«ts daudz rakstu, kas pamatotu katru viedokli. Bet tas nav tas, ko mÄs apspriedÄ«sim Å”ajÄ rakstÄ. Å is raksts sniegs informÄciju par to, kÄ pareizi noteikt paroles sarežģītÄ«bu, nevis par droŔības politikas pÄrvaldÄ«bu.
Paroļu politikas iespÄjas
ZemÄk jÅ«s redzÄsiet paroļu politikas iestatÄ«jumus un katra no tiem Ä«su aprakstu. Daudzi no tiem ir lÄ«dzÄ«gi parametriem modulÄ« cracklib. Å Äda pieeja atvieglo jÅ«su politikas pÄrnesi no vecÄs sistÄmas.
- difok ā Simbolu skaits jÅ«su jaunajÄ parolÄ, kuri NEKAD nedrÄ«kst bÅ«t jÅ«su vecajÄ parolÄ. (NoklusÄjums 5)
- minlen ā MinimÄlais paroles garums. (NoklusÄjums 9)
- ucredit ā MaksimÄlais kredÄ«tu skaits par lielo burtu izmantoÅ”anu (ja parametrs > 0), vai minimÄlais nepiecieÅ”amais lielo burtu skaits (ja parametrs < 0). NoklusÄjums 1.
- lcredit ā MaksimÄlais kredÄ«tu skaits, izmantojot mazÄko burtu (ja parametrs > 0), vai minimÄlais prasÄ«tais mazÄko burtu skaits (ja parametrs < 0). PÄc noklusÄjuma 1.
- dcredit ā MaksimÄlais kredÄ«tu skaits, izmantojot ciparus (ja parametrs > 0), vai minimÄlais prasÄ«tais ciparu skaits (ja parametrs < 0). PÄc noklusÄjuma 1.
- ocredit ā MaksimÄlais kredÄ«tu skaits, izmantojot citus simbolus (ja parametrs > 0), vai minimÄlais prasÄ«tais citu simbolu skaits (ja parametrs < 0). PÄc noklusÄjuma 1.
- minclass ā Nosaka prasÄ«to klaÅ”u skaitu. Klases ietver iepriekÅ” minÄtos parametrus (augÅ”Äjo burti, apakÅ”Äjo burtu, ciparus, citus simbolus). PÄc noklusÄjuma 0.
- maxrepeat ā MaksimÄlais simbolu atkÄrtojumu skaits parolÄ. PÄc noklusÄjuma 0.
- maxclassrepeat ā MaksimÄlais secÄ«gu simbolu skaits vienÄ klasÄ. PÄc noklusÄjuma 0.
- gecoscheck ā PÄrbauda, vai parole satur kÄdus vÄrdus no lietotÄja GECOS rindÄm. (Izmantojama informÄcija, t.i., Ä«stais vÄrds, atraÅ”anÄs vieta utt.) PÄc noklusÄjuma 0 (izslÄgts).
- dictpath ā CeļŔ uz cracklib vÄrdnÄ«cÄm.
- badwords ā VÄrdi, kas atdalÄ«ti ar atstarpÄm, kuri ir aizliegti parolÄs (uzÅÄmuma nosaukums, vÄrds āparoleā utt.).
Ja kredÄ«tu jÄdziens izklausÄs dÄ«vaini, nav par ko uztraukties, tas ir normÄli. Par to mÄs runÄsim sÄ«kÄk nÄkamajÄs nodaļÄs.
Paroļu politikas konfigurÄcija
Pirms sÄkt rediÄ£Ät konfigurÄcijas failus, ir laba prakse iepriekÅ” pierakstÄ«t pamata paroļu politiku. PiemÄram, mÄs izmantosim Å”Ädus sarežģītÄ«bas noteikumus:
- Parolei jÄbÅ«t vismaz 15 simbolu garai.
- ParolÄ vienÄds simbols nedrÄ«kst atkÄrtoties vairÄk nekÄ divas reizes.
- ParolÄ simbolu klases var atkÄrtoties lÄ«dz Äetriem gadiem.
- Parolei jÄiekļauj simboli no katras klases.
- Jaunai parolei jÄbÅ«t ar 5 jaunÄm simbolÄm salÄ«dzinÄjumÄ ar veco.
- IespÄju pÄrbaude GECOS.
- Aizliegt vÄrdus Ā«password, pass, word, putoriusĀ»
Tagad, kad mÄs esam izklÄstÄ«juÅ”i politiku, mÄs varam rediÄ£Ät failu /etc/security/pwquality.conf, lai pastiprinÄtu parolei izvirzÄ«tÄs prasÄ«bas. TÄlÄk ir piemÄrs failam ar komentÄriem labÄkai izpratnei.
# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putoriusKÄ jÅ«s varÄjÄt pamanÄ«t, daži parametri mÅ«su failÄ ir lieki. PiemÄram, parametrs minclass ir lieki pÄrÄk daudz, jo mÄs jau izmantojam vismaz divus simbolus no klases, izmantojot laukus [u,l,d,o]credit. MÅ«su vÄrdu saraksts, kuriem ir aizliegts lietot, arÄ« ir lieks, jo mÄs esam aizlieguÅ”i atkÄrtot jebkuru klasi 4 reizes (visi vÄrdi mÅ«su sarakstÄ ir rakstÄ«ti ar mazajiem burtiem). Es iekļÄvu Å”os parametrus tikai, lai parÄdÄ«tu, kÄ tos izmantot parole politikas konfigurÄÅ”anai.
TiklÄ«dz esat izveidojis savu politiku, jÅ«s varat piespiest lietotÄjus mainÄ«t savas paroles nÄkamajÄ pieteikÅ”anÄs reizÄ .
VÄl viena dÄ«vaina lieta, ko jÅ«s, iespÄjams, esat pamanÄ«jis, ir tÄ, ka lauki [u,l,d,o]credit satur negatÄ«vu skaitli. Tas ir tÄpÄc, ka skaitļi, kas ir lielÄki vai vienÄdi ar 0, dos kredÄ«tu simbola lietoÅ”anai jÅ«su parolÄ. Ja lauks satur negatÄ«vu skaitli, tas nozÄ«mÄ, ka ir nepiecieÅ”ams noteikts daudzums.
Kas ir kredīti (credit)?
Es tos saucu par kredÄ«tiem, jo tas visprecÄ«zÄk atspoguļo to mÄrÄ·i. Ja parametru vÄrtÄ«ba ir lielÄka par 0, jÅ«s pievienojat Ā«simbola kredÄ«tuĀ» skaitu, kas ir vienÄds ar Ā«xĀ» parola garumam. PiemÄram, ja visi parametri (u,l,d,o)credit ir iestatÄ«ti uz 1, un prasÄ«tais paroles garums ir 6, jums bÅ«s nepiecieÅ”ami 6 simboli, lai izpildÄ«tu garuma prasÄ«bu, jo katrs augstÄ burta, mazÄ burta, cipara vai cita simbola pieŔķir jums vienu kredÄ«tu.
Ja jÅ«s iestatÄ«siet dcredit uz 2, jÅ«s teorÄtiski varÄsiet izmantot paroli ar garumu 9 simboli un iegÅ«t 2 kredÄ«tus cipariem, tÄpÄc paroles garums var bÅ«t jau 10.
Paskatieties uz Å”o piemÄru. Es iestatÄ«ju paroles garumu 13, iestatÄ«ju dcredit uz 2, un visu pÄrÄjo uz 0.
$ pwscore
Thisistwelve
Paroles kvalitÄtes pÄrbaude neizdevÄs:
Parole ir Ä«sÄka par 13 rakstzÄ«mÄm
$ pwscore
Th1sistwelve
18Mana pirmÄ pÄrbaude neizdevÄs, jo paroles garums bija mazÄks par 13 rakstzÄ«mÄm. NÄkamreiz es nomainÄ«ju burtu āIā uz ciparu ā1ā un ieguvu divus kredÄ«tus par cipariem, kas nomaiÅoja paroli lÄ«dz 13.
Paroles testÄÅ”ana
Pakete libpwquality nodroÅ”ina funkcionalitÄti, kas aprakstÄ«ta rakstÄ. TÄpat tai ir piegÄdÄts programma pwscore, kas ir paredzÄta paroles sarežģītÄ«bas pÄrbaudei. MÄs to izmantojÄm iepriekÅ”, lai pÄrbaudÄ«tu kredÄ«tus.
RÄ«ks pwscore lasÄ«t no . VienkÄrÅ”i palaidiet utilÄ«tu un ierakstiet savu paroli, tÄ izvadÄ«s kļūdu vai vÄrtÄ«bu no 0 lÄ«dz 100.
Paroles kvalitÄtes rÄdÄ«tÄjs saistÄs ar parametru minlen konfigurÄcijas failÄ. KopumÄ rÄdÄ«tÄjs, kas ir zem 50, tiek uzskatÄ«ts par ānormÄlu paroliā, bet virs 50 ā par āstipru paroliā. Jebkurai parolei, kas iztur kvalitÄtes pÄrbaudes (Ä«paÅ”i obligÄtÄs pÄrbaudes cracklib) jÄspÄj izturÄt vÄrdu krÄjuma uzbrukumus, un parole ar rÄdÄ«tÄju virs 50 ar noklusÄjuma minlen iestatÄ«jumiem pat brute force uzbrukumiem.
SecinÄjums
IestatÄ«jumi pwquality ā tas ir viegli un vienkÄrÅ”i salÄ«dzinÄjumÄ ar neÄrtÄ«bÄm, izmantojot cracklib tieÅ”u failu rediÄ£ÄÅ”anu pam. Å ajÄ rokasgrÄmatÄ mÄs apskatÄ«jÄm visu, kas jums nepiecieÅ”ams, lai konfigurÄtu paroles politiku Red Hat 7, CentOS 7 un pat Ubuntu sistÄmÄs. MÄs arÄ« runÄjÄm par kredÄ«tu koncepciju, par kuru reti tiek rakstÄ«ts detalizÄti, tÄpÄc Ŕī tÄma bieži palika neskaidra tiem, kuri ar to iepriekÅ” nav saskÄruÅ”ies.
Avoti:
Noderīgas saites:
Avots: habr.com
Russian
Italian
German
Polish
Estonian
Albanian
Bulgarian
Croatian
Czech
Danish
Dutch
English
French
Hungarian
Latvian
Norwegian
Portuguese
Romanian
Slovak
Slovenian
Spanish
Swedish