Креирање на политика за лозинка во Linux

Здраво повторно! Наставата во новата група на курсеви започнува утре „Администратор на Линукс“, во овој поглед објавуваме корисна статија на темата.

Во претходниот туторијал ви кажавме како да го користите pam_cracklibда се направат лозинките на системите покомплексни Црвена шапка 6 или CentOS. Во Red Hat 7 pam_pwquality заменет cracklib како pam стандарден модул за проверка на лозинки. Модул pam_pwquality исто така поддржан на Ubuntu и CentOS, како и на многу други оперативни системи. Овој модул го олеснува креирањето политики за лозинка за да се осигура дека корисниците ги прифаќаат стандардите за јачина на вашата лозинка.

Долго време, заедничкиот пристап кон лозинките беше да се принуди корисникот да користи големи, мали, бројки или други симболи. Овие основни правила за сложеност на лозинката беа широко промовирани во последните десет години. Имаше многу дискусии за тоа дали ова е добра практика или не. Главниот аргумент против поставувањето на такви сложени услови беше тоа што корисниците ги запишуваат лозинките на парчиња хартија и ги чуваат несигурно.

Друга политика која неодамна беше доведена во прашање ги принудува корисниците да ги менуваат своите лозинки на секои x дена. Имаше некои студии кои покажаа дека ова е исто така штетно за безбедноста.

На темата на овие дискусии се напишани многу написи кои го поткрепуваат едно или друго гледиште. Но, ова не е она за што ќе разговараме во оваа статија. Оваа статија ќе зборува за тоа како правилно да ја поставите сложеноста на лозинката наместо да управувате со безбедносната политика.

Поставки за политика за лозинка

Подолу ќе ги видите опциите за политика за лозинка и краток опис на секоја од нив. Многу од нив се слични на параметрите во модулот cracklib. Овој пристап го олеснува пренесувањето на вашите политики од наследниот систем.

• дифок – Бројот на знаци во вашата нова лозинка што НЕ треба да бидат присутни во вашата стара лозинка. (Стандардно 5)
• минлен – Минимална должина на лозинка. (Стандардно 9)
• укредит – Максималниот број на кредити за користење на големи букви (ако параметар > 0), или минималниот потребен број на големи букви (ако параметар <0). Стандардно е 1.
• кредит — Максималниот број на кредити за користење на мали букви (ако параметар > 0), или минималниот потребен број на мали знаци (ако параметар <0). Стандардно е 1.
• дкредит — Максималниот број на кредити за користење цифри (ако параметар > 0), или минималниот потребен број на цифри (ако параметар < 0). Стандардно е 1.
• кредит — Максималниот број на кредити за користење други симболи (ако параметар > 0), или минималниот потребен број на други симболи (ако параметар <0). Стандардно е 1.
• minclass – Го поставува бројот на потребни часови. Класите ги вклучуваат горенаведените параметри (големи букви, мали букви, бројки, други знаци). Стандардно е 0.
• максимално повторување – Максималниот број пати може да се повтори знакот во лозинка. Стандардно е 0.
• maxclassrepeat — Максималниот број на последователни знаци во една класа. Стандардно е 0.
• gecoscheck – Проверува дали лозинката содржи зборови од GECOS низите на корисникот. (Информации за корисникот, т.е. вистинско име, локација итн.) Стандардно е 0 (исклучено).
• диктат патека – Ајде да одиме во речниците на cracklib.
• лоши зборови – Зборови одвоени со простор што се забранети во лозинки (Име на компанијата, зборот „лозинка“ итн.).

Ако концептот на заеми звучи чудно, тоа е во ред, тоа е нормално. Ќе зборуваме повеќе за ова во следните делови.

Конфигурација на политиката за лозинка

Пред да започнете со уредување на конфигурациските датотеки, добра практика е однапред да запишете основна политика за лозинка. На пример, ќе ги користиме следниве правила за тешкотија:

• Лозинката мора да има минимална должина од 15 знаци.
• Истиот знак не треба да се повторува повеќе од двапати во лозинката.
• Класите на знаци може да се повторат до четири пати во лозинка.
• Лозинката мора да содржи знаци од секоја класа.
• Новата лозинка мора да има 5 нови знаци во споредба со старата.
• Овозможете проверка на GECOS.
• Забранете ги зборовите „лозинка, премин, збор, путориус“

Сега кога ја поставивме политиката, можеме да ја уредиме датотеката /etc/security/pwquality.confда ги зголеми барањата за сложеност на лозинката. Подолу е пример датотека со коментари за подобро разбирање.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Како што можеби забележавте, некои параметри во нашата датотека се излишни. На пример, параметарот minclass е излишно бидејќи веќе користиме најмалку два знака од класата користејќи полиња [u,l,d,o]credit. Нашата листа на зборови што не може да се користат е исто така излишна, бидејќи забранивме повторување на која било класа 4 пати (сите зборови во нашата листа се напишани со мали букви). Ги вклучив овие опции само за да покажам како да ги користите за да ја конфигурирате политиката за лозинка.
Откако ќе ја креирате вашата политика, можете да ги принудите корисниците да ги променат своите лозинки следниот пат кога ќе се логираат. системот.

Друга чудна работа што можеби сте ја забележале е дека нивите [u,l,d,o]credit содржат негативен број. Ова е затоа што бројките поголеми или еднакви на 0 ќе дадат заслуга за користење на знакот во вашата лозинка. Ако полето содржи негативен број, тоа значи дека е потребна одредена количина.

Што се заеми?

Ги нарекувам заеми затоа што тоа ја пренесува нивната цел што е можно попрецизно. Ако вредноста на параметарот е поголема од 0, на должината на лозинката додавате бројни „карактери“ еднакви на „x“. На пример, ако сите параметри (u,l,d,o)credit поставено на 1 и потребната должина на лозинката беше 6, тогаш ќе ви требаат 6 знаци за да го задоволите барањето за должина бидејќи секоја голема, мала, цифра или друг знак ќе ви даде по еден кредит.

Ако инсталирате dcredit на 2, теоретски може да користите лозинка долга 9 знаци и да добиете 2 кредити за знаци за броеви, а потоа должината на лозинката веќе може да биде 10.

Погледнете го овој пример. Ја поставив должината на лозинката на 13, го поставив dcredit на 2, а сè друго на 0.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

Мојата прва проверка не успеа бидејќи лозинката беше помала од 13 знаци. Следниот пат кога ја сменив буквата „I“ во бројот „1“ и добив два кредити за броевите, што ја направи лозинката еднаква на 13.

Тестирање на лозинка

Пакет libpwquality ја обезбедува функционалноста опишана во статијата. Доаѓа и со програма pwscore, кој е дизајниран да ја провери сложеноста на лозинката. Го користевме погоре за да ги провериме заемите.
Алатка pwscore чита од стдин. Само стартувајте ја алатката и напишете ја вашата лозинка, таа ќе прикаже грешка или вредност од 0 до 100.

Оценката за квалитет на лозинката е поврзана со параметарот minlen во конфигурациската датотека. Општо земено, резултатот помал од 50 се смета за „нормална лозинка“, а резултатот над него се смета за „јака лозинка“. Секоја лозинка што поминува проверки за квалитет (особено присилна верификација cracklib) мора да издржи напади на речник и лозинка со резултат над 50 со поставката minlen дури и стандардно brute force напади.

Заклучок

прилагодување pwquality - лесно е и едноставно во споредба со непријатностите при користење cracklib со директно уредување на датотеки pam. Во овој водич, опфативме сè што ќе ви треба при поставување на политики за лозинка на Red Hat 7, CentOS 7, па дури и Ubuntu системи. Разговаравме и за концептот на кредити, за кој ретко се пишува во детали, па оваа тема често остануваше нејасна за оние кои претходно не се сретнале со неа.

Извори:

pwquality човек страница
pam_pwquality man page
pwscore man page

Корисни врски:

Избор на безбедни лозинки - Брус Шнајер
Лори Фејт Кранор разговара за нејзините студии за лозинка на CMU
Злогласниот цртан филм xkcd на Ентропија

Извор: www.habr.com