Linux-ൽ ഒരു പാസ്‌വേഡ് നയം സൃഷ്ടിക്കുന്നു

വീണ്ടും ഹലോ! പുതിയ കോഴ്‌സ് ഗ്രൂപ്പിലെ ക്ലാസുകൾ നാളെ ആരംഭിക്കും "ലിനക്സ് അഡ്മിനിസ്ട്രേറ്റർ", ഈ വിഷയത്തിൽ ഞങ്ങൾ ഉപയോഗപ്രദമായ ഒരു ലേഖനം പ്രസിദ്ധീകരിക്കുന്നു.

എങ്ങനെ ഉപയോഗിക്കണമെന്ന് മുമ്പത്തെ ട്യൂട്ടോറിയലിൽ ഞങ്ങൾ നിങ്ങളോട് പറഞ്ഞു pam_cracklibസിസ്റ്റങ്ങളിലെ പാസ്‌വേഡുകൾ കൂടുതൽ സങ്കീർണ്ണമാക്കുന്നതിന് റെഡ് ഹാറ്റ് 6 അല്ലെങ്കിൽ CentOS. Red Hat 7 ൽ pam_pwquality മാറ്റി cracklib പോലെ pam പാസ്‌വേഡുകൾ പരിശോധിക്കുന്നതിനുള്ള ഡിഫോൾട്ട് മൊഡ്യൂൾ. മൊഡ്യൂൾ pam_pwquality Ubuntu, CentOS എന്നിവയിലും മറ്റ് പല OS-കളിലും പിന്തുണയ്ക്കുന്നു. നിങ്ങളുടെ പാസ്‌വേഡ് ദൃഢത മാനദണ്ഡങ്ങൾ ഉപയോക്താക്കൾ അംഗീകരിക്കുന്നുവെന്ന് ഉറപ്പാക്കാൻ പാസ്‌വേഡ് നയങ്ങൾ സൃഷ്‌ടിക്കുന്നത് ഈ മൊഡ്യൂൾ എളുപ്പമാക്കുന്നു.

വളരെക്കാലമായി, പാസ്‌വേഡുകളോടുള്ള പൊതുവായ സമീപനം, വലിയക്ഷരം, ചെറിയക്ഷരം, അക്കങ്ങൾ അല്ലെങ്കിൽ മറ്റ് ചിഹ്നങ്ങൾ ഉപയോഗിക്കാൻ ഉപയോക്താവിനെ നിർബന്ധിക്കുന്നതായിരുന്നു. പാസ്‌വേഡ് സങ്കീർണ്ണതയ്ക്കുള്ള ഈ അടിസ്ഥാന നിയമങ്ങൾ കഴിഞ്ഞ പത്ത് വർഷമായി വ്യാപകമായി പ്രമോട്ട് ചെയ്യപ്പെടുന്നു. ഇത് നല്ല ശീലമാണോ അല്ലയോ എന്നതിനെക്കുറിച്ച് ധാരാളം ചർച്ചകൾ നടന്നിട്ടുണ്ട്. ഇത്തരം സങ്കീർണ്ണമായ വ്യവസ്ഥകൾ സ്ഥാപിക്കുന്നതിനെതിരായ പ്രധാന വാദം ഉപയോക്താക്കൾ കടലാസു കഷ്ണങ്ങളിൽ പാസ്‌വേഡുകൾ എഴുതി സുരക്ഷിതമായി സൂക്ഷിക്കുന്നു എന്നതായിരുന്നു.

അടുത്തിടെ ചോദ്യം ചെയ്യപ്പെട്ട മറ്റൊരു നയം ഓരോ x ദിവസത്തിലും പാസ്‌വേഡുകൾ മാറ്റാൻ ഉപയോക്താക്കളെ പ്രേരിപ്പിക്കുന്നു. ഇതും സുരക്ഷയ്ക്ക് ഹാനികരമാണെന്ന് ചില പഠനങ്ങൾ തെളിയിച്ചിട്ടുണ്ട്.

ഈ ചർച്ചകളുടെ വിഷയത്തിൽ നിരവധി ലേഖനങ്ങൾ എഴുതിയിട്ടുണ്ട്, അത് ഒരു വീക്ഷണത്തെ അല്ലെങ്കിൽ മറ്റൊന്നിനെ സാധൂകരിക്കുന്നു. എന്നാൽ ഈ ലേഖനത്തിൽ നമ്മൾ ചർച്ച ചെയ്യുന്നത് ഇതല്ല. സുരക്ഷാ നയം നിയന്ത്രിക്കുന്നതിനുപകരം പാസ്‌വേഡ് സങ്കീർണ്ണത എങ്ങനെ ശരിയായി സജ്ജീകരിക്കാം എന്നതിനെക്കുറിച്ച് ഈ ലേഖനം സംസാരിക്കും.

പാസ്‌വേഡ് നയ ക്രമീകരണങ്ങൾ

പാസ്‌വേഡ് പോളിസി ഓപ്ഷനുകളും ഓരോന്നിന്റെയും ഹ്രസ്വ വിവരണവും നിങ്ങൾ ചുവടെ കാണും. അവയിൽ പലതും മൊഡ്യൂളിലെ പാരാമീറ്ററുകൾക്ക് സമാനമാണ് cracklib. ഈ സമീപനം ലെഗസി സിസ്റ്റത്തിൽ നിന്ന് നിങ്ങളുടെ നയങ്ങൾ പോർട്ട് ചെയ്യുന്നത് എളുപ്പമാക്കുന്നു.

• difok - നിങ്ങളുടെ പഴയ പാസ്‌വേഡിൽ ഉണ്ടാകാൻ പാടില്ലാത്ത നിങ്ങളുടെ പുതിയ പാസ്‌വേഡിലെ പ്രതീകങ്ങളുടെ എണ്ണം. (ഡിഫോൾട്ട് 5)
• മിനൻ - കുറഞ്ഞ പാസ്‌വേഡ് ദൈർഘ്യം. (ഡിഫോൾട്ട് 9)
• ക്രെഡിറ്റ് – വലിയക്ഷര പ്രതീകങ്ങൾ ഉപയോഗിക്കുന്നതിനുള്ള പരമാവധി ക്രെഡിറ്റുകളുടെ എണ്ണം (പാരാമീറ്റർ > 0 ആണെങ്കിൽ), അല്ലെങ്കിൽ ആവശ്യമായ ഏറ്റവും കുറഞ്ഞ വലിയക്ഷര പ്രതീകങ്ങൾ (പാരാമീറ്റർ <0 ആണെങ്കിൽ). സ്ഥിരസ്ഥിതി 1 ആണ്.
• ക്രെഡിറ്റ് — ചെറിയക്ഷരം പ്രതീകങ്ങൾ ഉപയോഗിക്കുന്നതിനുള്ള പരമാവധി ക്രെഡിറ്റുകളുടെ എണ്ണം (പാരാമീറ്റർ > 0 ആണെങ്കിൽ), അല്ലെങ്കിൽ ആവശ്യമായ ഏറ്റവും കുറഞ്ഞ ചെറിയ അക്ഷരങ്ങൾ (പാരാമീറ്റർ <0 ആണെങ്കിൽ). സ്ഥിരസ്ഥിതി 1 ആണ്.
• കടപ്പാട് - അക്കങ്ങൾ ഉപയോഗിക്കുന്നതിനുള്ള ക്രെഡിറ്റുകളുടെ പരമാവധി എണ്ണം (പാരാമീറ്റർ > 0 ആണെങ്കിൽ), അല്ലെങ്കിൽ ആവശ്യമുള്ള ഏറ്റവും കുറഞ്ഞ അക്കങ്ങളുടെ എണ്ണം (പാരാമീറ്റർ <0 ആണെങ്കിൽ). സ്ഥിരസ്ഥിതി 1 ആണ്.
• കടപ്പാട് — മറ്റ് ചിഹ്നങ്ങൾ ഉപയോഗിക്കുന്നതിനുള്ള പരമാവധി ക്രെഡിറ്റുകളുടെ എണ്ണം (പാരാമീറ്റർ > 0 ആണെങ്കിൽ), അല്ലെങ്കിൽ മറ്റ് ചിഹ്നങ്ങളുടെ ഏറ്റവും കുറഞ്ഞ എണ്ണം (പാരാമീറ്റർ <0 ആണെങ്കിൽ). സ്ഥിരസ്ഥിതി 1 ആണ്.
• മിനിക്ലാസ് - ആവശ്യമായ ക്ലാസുകളുടെ എണ്ണം സജ്ജമാക്കുന്നു. ക്ലാസുകളിൽ മുകളിലുള്ള പാരാമീറ്ററുകൾ ഉൾപ്പെടുന്നു (അപ്പർ കേസ് പ്രതീകങ്ങൾ, ചെറിയ അക്ഷരങ്ങൾ, അക്കങ്ങൾ, മറ്റ് പ്രതീകങ്ങൾ). സ്ഥിരസ്ഥിതി 0 ആണ്.
• പരമാവധി ആവർത്തിക്കുക - ഒരു പാസ്‌വേഡിൽ ഒരു പ്രതീകം പരമാവധി തവണ ആവർത്തിക്കാം. സ്ഥിരസ്ഥിതി 0 ആണ്.
• maxclassrepeat - ഒരു ക്ലാസിലെ തുടർച്ചയായ അക്ഷരങ്ങളുടെ പരമാവധി എണ്ണം. സ്ഥിരസ്ഥിതി 0 ആണ്.
• gecoscheck – പാസ്‌വേഡിൽ ഉപയോക്താവിന്റെ GECOS സ്ട്രിംഗുകളിൽ നിന്ന് എന്തെങ്കിലും വാക്കുകൾ അടങ്ങിയിട്ടുണ്ടോ എന്ന് പരിശോധിക്കുന്നു. (ഉപയോക്തൃ വിവരങ്ങൾ, അതായത് യഥാർത്ഥ പേര്, സ്ഥാനം മുതലായവ) ഡിഫോൾട്ട് 0 ആണ് (ഓഫ്).
• ദിക്റ്റ്പാത്ത് – നമുക്ക് cracklib നിഘണ്ടുവുകളിലേക്ക് പോകാം.
• ചീത്ത വാക്കുകൾ - പാസ്‌വേഡുകളിൽ നിരോധിക്കപ്പെട്ടിട്ടുള്ള സ്‌പെയ്‌സ്-വേർഡ് പദങ്ങൾ (കമ്പനിയുടെ പേര്, "പാസ്‌വേഡ്" എന്ന വാക്ക് മുതലായവ).

വായ്പ എന്ന ആശയം വിചിത്രമായി തോന്നുകയാണെങ്കിൽ, കുഴപ്പമില്ല, ഇത് സാധാരണമാണ്. ഇനിപ്പറയുന്ന വിഭാഗങ്ങളിൽ ഞങ്ങൾ ഇതിനെക്കുറിച്ച് കൂടുതൽ സംസാരിക്കും.

പാസ്‌വേഡ് നയ കോൺഫിഗറേഷൻ

നിങ്ങൾ കോൺഫിഗറേഷൻ ഫയലുകൾ എഡിറ്റ് ചെയ്യാൻ തുടങ്ങുന്നതിനുമുമ്പ്, ഒരു അടിസ്ഥാന പാസ്‌വേഡ് നയം മുൻകൂട്ടി എഴുതുന്നത് നല്ലതാണ്. ഉദാഹരണത്തിന്, ഞങ്ങൾ ഇനിപ്പറയുന്ന ബുദ്ധിമുട്ട് നിയമങ്ങൾ ഉപയോഗിക്കും:

• പാസ്‌വേഡിന് കുറഞ്ഞത് 15 പ്രതീകങ്ങൾ ഉണ്ടായിരിക്കണം.
• ഒരേ അക്ഷരം പാസ്‌വേഡിൽ രണ്ടുതവണയിൽ കൂടുതൽ ആവർത്തിക്കാൻ പാടില്ല.
• ഒരു പാസ്‌വേഡിൽ പ്രതീക ക്ലാസുകൾ നാല് തവണ വരെ ആവർത്തിക്കാം.
• പാസ്‌വേഡിൽ ഓരോ ക്ലാസിലെയും പ്രതീകങ്ങൾ ഉണ്ടായിരിക്കണം.
• പുതിയ പാസ്‌വേഡിന് പഴയതിനെ അപേക്ഷിച്ച് 5 പുതിയ പ്രതീകങ്ങൾ ഉണ്ടായിരിക്കണം.
• GECOS പരിശോധന പ്രവർത്തനക്ഷമമാക്കുക.
• "പാസ്വേഡ്, പാസ്സ്, വേഡ്, പുട്ടോറിയസ്" എന്നീ വാക്കുകൾ നിരോധിക്കുക

ഇപ്പോൾ ഞങ്ങൾ നയം നിരത്തി, ഞങ്ങൾക്ക് ഫയൽ എഡിറ്റ് ചെയ്യാം /etc/security/pwquality.confപാസ്‌വേഡ് സങ്കീർണ്ണത ആവശ്യകതകൾ വർദ്ധിപ്പിക്കുന്നതിന്. മികച്ച ധാരണയ്ക്കായി അഭിപ്രായങ്ങളുള്ള ഒരു ഉദാഹരണ ഫയൽ ചുവടെയുണ്ട്.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

നിങ്ങൾ ശ്രദ്ധിച്ചിരിക്കാം, ഞങ്ങളുടെ ഫയലിലെ ചില പാരാമീറ്ററുകൾ അനാവശ്യമാണ്. ഉദാഹരണത്തിന്, പരാമീറ്റർ minclass ഫീൽഡുകൾ ഉപയോഗിച്ച് ഞങ്ങൾ ക്ലാസിൽ നിന്ന് കുറഞ്ഞത് രണ്ട് പ്രതീകങ്ങളെങ്കിലും ഉപയോഗിക്കുന്നതിനാൽ അനാവശ്യമാണ് [u,l,d,o]credit. ഉപയോഗിക്കാനാവാത്ത വാക്കുകളുടെ പട്ടികയും അനാവശ്യമാണ്, കാരണം ഞങ്ങൾ ഏതെങ്കിലും ക്ലാസ് 4 തവണ ആവർത്തിക്കുന്നത് നിരോധിച്ചിരിക്കുന്നു (ഞങ്ങളുടെ ലിസ്റ്റിലെ എല്ലാ വാക്കുകളും ചെറിയ അക്ഷരങ്ങളിൽ എഴുതിയിരിക്കുന്നു). ഈ ഓപ്‌ഷനുകൾ നിങ്ങളുടെ പാസ്‌വേഡ് നയം കോൺഫിഗർ ചെയ്യുന്നതിന് എങ്ങനെ ഉപയോഗിക്കാമെന്ന് കാണിക്കാൻ മാത്രമാണ് ഞാൻ ഈ ഓപ്‌ഷനുകൾ ഉൾപ്പെടുത്തിയിരിക്കുന്നത്.
ഒരിക്കൽ നിങ്ങൾ നയം സൃഷ്ടിച്ചുകഴിഞ്ഞാൽ, അടുത്ത തവണ ലോഗിൻ ചെയ്യുമ്പോൾ ഉപയോക്താക്കളെ അവരുടെ പാസ്‌വേഡുകൾ മാറ്റാൻ നിങ്ങൾക്ക് നിർബന്ധിക്കാം. സിസ്റ്റം.

നിങ്ങൾ ശ്രദ്ധിച്ചിരിക്കാവുന്ന മറ്റൊരു വിചിത്രമായ കാര്യം വയലുകളാണ് [u,l,d,o]credit ഒരു നെഗറ്റീവ് സംഖ്യ അടങ്ങിയിരിക്കുന്നു. കാരണം, 0-നേക്കാൾ വലുതോ തുല്യമോ ആയ സംഖ്യകൾ നിങ്ങളുടെ പാസ്‌വേഡിലെ പ്രതീകം ഉപയോഗിക്കുന്നതിന് ക്രെഡിറ്റ് നൽകും. ഫീൽഡിൽ ഒരു നെഗറ്റീവ് നമ്പർ അടങ്ങിയിട്ടുണ്ടെങ്കിൽ, ഒരു നിശ്ചിത അളവ് ആവശ്യമാണെന്നാണ് ഇതിനർത്ഥം.

എന്താണ് വായ്പകൾ?

ഞാൻ അവരെ വായ്പകൾ എന്ന് വിളിക്കുന്നു, കാരണം അത് അവരുടെ ഉദ്ദേശ്യം കഴിയുന്നത്ര കൃത്യമായി അറിയിക്കുന്നു. പാരാമീറ്റർ മൂല്യം 0-ൽ കൂടുതലാണെങ്കിൽ, നിങ്ങൾ പാസ്‌വേഡ് ദൈർഘ്യത്തിലേക്ക് "x" ന് തുല്യമായ നിരവധി "പ്രതീക ക്രെഡിറ്റുകൾ" ചേർക്കുക. ഉദാഹരണത്തിന്, എല്ലാ പാരാമീറ്ററുകളും ആണെങ്കിൽ (u,l,d,o)credit 1 ആയി സജ്ജീകരിച്ച്, ആവശ്യമായ പാസ്‌വേഡ് ദൈർഘ്യം 6 ആയിരുന്നു, തുടർന്ന് ദൈർഘ്യത്തിന്റെ ആവശ്യകത നിറവേറ്റുന്നതിന് നിങ്ങൾക്ക് 6 പ്രതീകങ്ങൾ ആവശ്യമാണ്, കാരണം ഓരോ വലിയക്ഷരവും ചെറിയക്ഷരവും അക്കവും അല്ലെങ്കിൽ മറ്റ് പ്രതീകങ്ങളും നിങ്ങൾക്ക് ഒരു ക്രെഡിറ്റ് നൽകും.

നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്യുകയാണെങ്കിൽ dcredit 2-ൽ, നിങ്ങൾക്ക് സൈദ്ധാന്തികമായി 9 പ്രതീകങ്ങൾ നീളമുള്ള ഒരു പാസ്‌വേഡ് ഉപയോഗിക്കാനും അക്കങ്ങൾക്ക് 2 പ്രതീക ക്രെഡിറ്റുകൾ നേടാനും കഴിയും, തുടർന്ന് പാസ്‌വേഡ് ദൈർഘ്യം ഇതിനകം 10 ആയിരിക്കാം.

ഈ ഉദാഹരണം നോക്കൂ. ഞാൻ പാസ്‌വേഡ് ദൈർഘ്യം 13 ആയും dcredit 2 ആയും മറ്റെല്ലാം 0 ആയും സജ്ജമാക്കി.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

പാസ്‌വേഡിന് 13 പ്രതീകങ്ങളിൽ കുറവായതിനാൽ എന്റെ ആദ്യ പരിശോധന പരാജയപ്പെട്ടു. അടുത്ത തവണ ഞാൻ "I" എന്ന അക്ഷരം "1" എന്ന സംഖ്യയിലേക്ക് മാറ്റുകയും അക്കങ്ങൾക്ക് രണ്ട് ക്രെഡിറ്റുകൾ ലഭിക്കുകയും ചെയ്തു, അത് പാസ്‌വേഡ് 13 ന് തുല്യമാക്കി.

പാസ്‌വേഡ് പരിശോധന

പാക്കേജ് libpwquality ലേഖനത്തിൽ വിവരിച്ചിരിക്കുന്ന പ്രവർത്തനം നൽകുന്നു. ഇത് ഒരു പ്രോഗ്രാമിനൊപ്പം വരുന്നു pwscore, ഇത് പാസ്‌വേഡ് സങ്കീർണ്ണത പരിശോധിക്കാൻ രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു. വായ്പകൾ പരിശോധിക്കാൻ ഞങ്ങൾ ഇത് മുകളിൽ ഉപയോഗിച്ചു.
യൂട്ടിലിറ്റി pwscore നിന്ന് വായിക്കുന്നു stdin. യൂട്ടിലിറ്റി പ്രവർത്തിപ്പിച്ച് നിങ്ങളുടെ പാസ്‌വേഡ് എഴുതുക, അത് ഒരു പിശക് അല്ലെങ്കിൽ 0 മുതൽ 100 ​​വരെയുള്ള മൂല്യം പ്രദർശിപ്പിക്കും.

പാസ്‌വേഡ് ഗുണനിലവാര സ്‌കോർ പാരാമീറ്ററുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു minlen കോൺഫിഗറേഷൻ ഫയലിൽ. പൊതുവേ, 50-ൽ താഴെയുള്ള സ്കോർ "സാധാരണ പാസ്വേഡ്" ആയി കണക്കാക്കപ്പെടുന്നു, കൂടാതെ മുകളിലുള്ള സ്കോർ "ശക്തമായ പാസ്വേഡ്" ആയി കണക്കാക്കപ്പെടുന്നു. ഗുണനിലവാര പരിശോധനകൾ കടന്നുപോകുന്ന ഏതൊരു പാസ്‌വേഡും (പ്രത്യേകിച്ച് നിർബന്ധിത പരിശോധന cracklib) നിഘണ്ടു ആക്രമണങ്ങളെ ചെറുത്തുനിൽക്കണം, കൂടാതെ ക്രമീകരണത്തോടൊപ്പം 50-ന് മുകളിൽ സ്‌കോർ ഉള്ള ഒരു പാസ്‌വേഡ് minlen സ്ഥിരസ്ഥിതിയായി പോലും brute force ആക്രമണങ്ങൾ.

തീരുമാനം

കമപ്പെടുത്തല് pwquality - ഉപയോഗത്തിന്റെ അസൗകര്യവുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ ഇത് എളുപ്പവും ലളിതവുമാണ് cracklib നേരിട്ടുള്ള ഫയൽ എഡിറ്റിംഗിനൊപ്പം pam. ഈ ഗൈഡിൽ, Red Hat 7, CentOS 7, ഉബുണ്ടു സിസ്റ്റങ്ങളിൽ പോലും പാസ്‌വേഡ് പോളിസികൾ സജ്ജീകരിക്കുമ്പോൾ നിങ്ങൾക്കാവശ്യമായ എല്ലാ കാര്യങ്ങളും ഞങ്ങൾ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. വായ്പ എന്ന ആശയത്തെക്കുറിച്ചും ഞങ്ങൾ സംസാരിച്ചു, അത് വളരെ അപൂർവമായി മാത്രമേ എഴുതിയിട്ടുള്ളൂ, അതിനാൽ ഈ വിഷയം മുമ്പ് അഭിമുഖീകരിക്കാത്തവർക്ക് പലപ്പോഴും അവ്യക്തമായി തുടർന്നു.

ഉറവിടങ്ങൾ:

pwqualitty മാൻ പേജ്
pam_pwqualitty മാൻ പേജ്
pwscore മാൻ പേജ്

പ്രയോജനപ്രദമായ ലിങ്കുകൾ:

സുരക്ഷിത പാസ്‌വേഡുകൾ തിരഞ്ഞെടുക്കുന്നു - ബ്രൂസ് ഷ്‌നിയർ
ലോറി ഫെയ്ത്ത് ക്രാനോർ CMU-വിൽ അവളുടെ പാസ്‌വേഡ് പഠനം ചർച്ച ചെയ്യുന്നു
എൻട്രോപ്പിയിലെ കുപ്രസിദ്ധമായ xkcd കാർട്ടൂൺ

അവലംബം: www.habr.com