ProHoster > Blogs > Administrācija > Paroles politikas izveide operētājsistēmā Linux

Paroles politikas izveide operētājsistēmā Linux

Sveiks atkal! RÄ«t sākas nodarbÄ«bas jaunajā kursu grupā "Linux administrators", Å”ajā sakarā mēs publicējam noderÄ«gu rakstu par tēmu.

Paroles politikas izveide operētājsistēmā Linux

IepriekŔējā apmācÄ«bā mēs teicām, kā lietot pam_crackliblai padarÄ«tu paroles sistēmās sarežģītākas Sarkanā cepure 6 vai CentOS. Red Hat 7 pam_pwquality aizstāts cracklib kā pam noklusējuma modulis paroļu pārbaudei. Modulis pam_pwquality atbalsta arÄ« Ubuntu un CentOS, kā arÄ« daudzas citas operētājsistēmas. Å is modulis ļauj viegli izveidot paroļu politikas, lai nodroÅ”inātu, ka lietotāji pieņem jÅ«su paroles stipruma standartus.

Ilgu laiku izplatÄ«ta pieeja parolēm bija piespiest lietotāju lietot lielos, mazos, ciparus vai citus simbolus. Å ie paroles sarežģītÄ«bas pamatnoteikumi ir plaÅ”i popularizēti pēdējo desmit gadu laikā. Ir bijis daudz diskusiju par to, vai tā ir laba prakse vai nē. Galvenais arguments pret Ŕādu sarežģītu nosacÄ«jumu uzstādÄ«Å”anu bija tas, ka lietotāji pieraksta paroles uz papÄ«ra lapiņām un glabā tās nedroÅ”i.

Vēl viena politika, kas nesen tika apÅ”aubÄ«ta, liek lietotājiem mainÄ«t paroles ik pēc x dienām. Ir veikti daži pētÄ«jumi, kas liecina, ka tas arÄ« kaitē droŔībai.

Par Å”o diskusiju tēmu ir tapuÅ”i daudzi raksti, kas pamato vienu vai otru viedokli. Bet tas nav tas, ko mēs apspriedÄ«sim Å”ajā rakstā. Å ajā rakstā tiks runāts par to, kā pareizi iestatÄ«t paroles sarežģītÄ«bu, nevis pārvaldÄ«t droŔības politiku.

Paroles politikas iestatījumi

Tālāk redzēsit paroļu politikas opcijas un Ä«su katras no tām aprakstu. Daudzi no tiem ir lÄ«dzÄ«gi moduļa parametriem cracklib. Å Ä« pieeja atvieglo politiku pārneÅ”anu no mantotās sistēmas.

  • difok ā€“ Jaunās paroles rakstzÄ«mju skaits, kam NAV jābÅ«t jÅ«su vecajā parolē. (Noklusējums 5)
  • minle - Minimālais paroles garums. (Noklusējums 9)
  • kredÄ«ts ā€“ Maksimālais kredÄ«tpunktu skaits lielo burtu lietoÅ”anai (ja parametrs > 0) vai minimālais nepiecieÅ”amais lielo burtu skaits (ja parametrs < 0). Noklusējums ir 1.
  • lkredÄ«ts ā€” maksimālais kredÄ«tpunktu skaits mazo burtu lietoÅ”anai (ja parametrs > 0) vai minimālais nepiecieÅ”amais mazo burtu skaits (ja parametrs < 0). Noklusējums ir 1.
  • dkredÄ«ts ā€” maksimālais kredÄ«tpunktu skaits ciparu lietoÅ”anai (ja parametrs > 0) vai minimālais nepiecieÅ”amais ciparu skaits (ja parametrs < 0). Noklusējums ir 1.
  • kredÄ«ts ā€” maksimālais kredÄ«tpunktu skaits citu simbolu lietoÅ”anai (ja parametrs > 0) vai minimālais nepiecieÅ”amais citu simbolu skaits (ja parametrs < 0). Noklusējums ir 1.
  • minklase ā€“ Iestata nepiecieÅ”amo nodarbÄ«bu skaitu. Klasēs ietilpst iepriekÅ” minētie parametri (lielie burti, mazie burti, cipari, citas rakstzÄ«mes). Noklusējums ir 0.
  • maks.atkārtot ā€“ Maksimālais reižu skaits, kad parolē rakstzÄ«me var tikt atkārtota. Noklusējums ir 0.
  • max klases atkārtojums ā€” maksimālais secÄ«go rakstzÄ«mju skaits vienā klasē. Noklusējums ir 0.
  • gecoscheck ā€“ Pārbauda, ā€‹ā€‹vai parole nesatur vārdus no lietotāja GECOS virknēm. (Lietotāja informācija, t.i., Ä«stais vārds, atraÅ”anās vieta utt.) Noklusējums ir 0 (izslēgts).
  • diktāta ceļŔ ā€“ Ejam uz cracklib vārdnÄ«cām.
  • slikti vārdi ā€“ ar atstarpi atdalÄ«ti vārdi, kas parolēs ir aizliegti (uzņēmuma nosaukums, vārds ā€œparoleā€ utt.).

Ja kredītu jēdziens izklausās dīvaini, nekas, tas ir normāli. Par to vairāk runāsim nākamajās sadaļās.

Paroles politikas konfigurācija

Pirms sākat rediģēt konfigurācijas failus, ieteicams iepriekÅ” pierakstÄ«t pamata paroles politiku. Piemēram, mēs izmantosim Ŕādus sarežģītÄ«bas noteikumus:

  • Parolei jābÅ«t vismaz 15 rakstzÄ«mēm garai.
  • Viena un tā pati rakstzÄ«me parolē nedrÄ«kst atkārtot vairāk kā divas reizes.
  • RakstzÄ«mju klases ar paroli var atkārtot lÄ«dz četrām reizēm.
  • Parolē jābÅ«t rakstzÄ«mēm no katras klases.
  • Jaunajā parolē ir jābÅ«t 5 jaunām rakstzÄ«mēm salÄ«dzinājumā ar veco.
  • Iespējot GECOS pārbaudi.
  • Aizliegt vārdus ā€œparole, parole, vārds, putoriusā€

Tagad, kad esam izstrādājuÅ”i politiku, varam rediģēt failu /etc/security/pwquality.conflai palielinātu paroles sarežģītÄ«bas prasÄ«bas. Tālāk ir sniegts faila piemērs ar komentāriem labākai izpratnei. 

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Kā jÅ«s, iespējams, pamanÄ«jāt, daži parametri mÅ«su failā ir lieki. Piemēram, parametrs minclass ir lieks, jo mēs jau izmantojam vismaz divas rakstzÄ«mes no klases, izmantojot laukus [u,l,d,o]credit. MÅ«su saraksts ar vārdiem, kurus nevar lietot, ir arÄ« lieks, jo mēs esam aizlieguÅ”i atkārtot jebkuru klasi 4 reizes (visi vārdi mÅ«su sarakstā ir rakstÄ«ti ar mazajiem burtiem). Å Ä«s opcijas esmu iekļāvis tikai tāpēc, lai parādÄ«tu, kā tās izmantot paroles politikas konfigurÄ“Å”anai.
Kad esat izveidojis politiku, varat piespiest lietotājus mainÄ«t paroles nākamajā pieteikÅ”anās reizē. sistēma.

Vēl viena dÄ«vaina lieta, ko jÅ«s, iespējams, pamanÄ«jāt, ir tas, ka lauki [u,l,d,o]credit satur negatÄ«vu skaitli. Tas ir tāpēc, ka skaitļi, kas ir lielāki vai vienādi ar 0, norāda uz rakstzÄ«mes izmantoÅ”anu jÅ«su parolē. Ja laukā ir negatÄ«vs skaitlis, tas nozÄ«mē, ka ir nepiecieÅ”ams noteikts daudzums.

Kas ir aizdevumi?

Es tos saucu par aizdevumiem, jo ā€‹ā€‹tas pēc iespējas precÄ«zāk atspoguļo to mērÄ·i. Ja parametra vērtÄ«ba ir lielāka par 0, paroles garumam jāpievieno "rakstzÄ«mju kredÄ«tu" skaits, kas vienāds ar "x". Piemēram, ja visi parametri (u,l,d,o)credit iestatÄ«ts uz 1 un nepiecieÅ”amais paroles garums bija 6, tad jums bÅ«s nepiecieÅ”amas 6 rakstzÄ«mes, lai izpildÄ«tu garuma prasÄ«bu, jo katrs lielais, mazais burts, cipars vai cita rakstzÄ«me pieŔķirs jums vienu kredÄ«tu.

Ja instalējat dcredit pie 2 teorētiski varētu izmantot paroli, kura ir 9 rakstzīmes gara un par cipariem saņemt 2 rakstzīmju kredītus, un tad paroles garums jau varētu būt 10.

Apskatiet Å”o piemēru. Es iestatÄ«ju paroles garumu uz 13, dcredit uz 2 un visu pārējo uz 0.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

Mana pirmā pārbaude neizdevās, jo parole bija mazāka par 13 rakstzÄ«mēm. Nākamajā reizē nomainÄ«ju burtu ā€œIā€ pret skaitli ā€œ1ā€ un par cipariem saņēmu divus kredÄ«tpunktus, kā rezultātā parole bija vienāda ar 13.

Paroles pārbaude

Paka libpwquality nodroÅ”ina rakstā aprakstÄ«to funkcionalitāti. Tam ir arÄ« programma pwscore, kas paredzēts paroles sarežģītÄ«bas pārbaudei. Mēs to izmantojām iepriekÅ”, lai pārbaudÄ«tu aizdevumus.
LietderÄ«ba pwscore skan no stdin. VienkārÅ”i palaidiet utilÄ«tu un ierakstiet savu paroli, tā parādÄ«s kļūdu vai vērtÄ«bu no 0 lÄ«dz 100.

Paroles kvalitātes rādÄ«tājs ir saistÄ«ts ar parametru minlen konfigurācijas failā. Parasti rezultāts, kas ir mazāks par 50, tiek uzskatÄ«ts par ā€œparastu paroliā€, un rezultāts, kas pārsniedz to, tiek uzskatÄ«ts par ā€œspēcÄ«gu paroliā€. Jebkura parole, kas iztur kvalitātes pārbaudes (Ä«paÅ”i piespiedu verifikāciju cracklib) ir jāiztur vārdnÄ«cu uzbrukumi un parole ar punktu skaitu virs 50 ar iestatÄ«jumu minlen pat pēc noklusējuma brute force uzbrukumiem.

Secinājums

koriģēŔana pwquality ā€“ tas ir viegli un vienkārÅ”i, salÄ«dzinot ar lietoÅ”anas neērtÄ«bām cracklib ar tieÅ”u failu rediģēŔanu pam. Å ajā rokasgrāmatā mēs esam apskatÄ«juÅ”i visu, kas jums bÅ«s nepiecieÅ”ams, iestatot paroļu politikas Red Hat 7, CentOS 7 un pat Ubuntu sistēmās. Runājām arÄ« par kredÄ«tu jēdzienu, par kuru reti tiek rakstÄ«ts sÄ«kāk, tāpēc Ŕī tēma nereti palika neskaidra tiem, kas ar to iepriekÅ” nebija saskāruÅ”ies.

Avoti:

pwquality man lapa
pam_pwquality man lapa
pwscore man lapa

Noderīgas saites:

DroÅ”u paroļu izvēle ā€“ BrÅ«ss Å neiers
Lorija Feita Kranora apspriež paroles studijas CMU
Bēdīgi slavenā xkcd multfilma par Entropiju

Avots: www.habr.com

Pievieno komentāru