लिनक्समध्ये पासवर्ड पॉलिसी तयार करणे

हॅलो पुन्हा! नवीन अभ्यासक्रम गटातील वर्ग उद्यापासून सुरू होतील "लिनक्स प्रशासक", या संदर्भात, आम्ही या विषयावर एक उपयुक्त लेख प्रकाशित करत आहोत.

मागील ट्युटोरियलमध्ये आम्ही तुम्हाला कसे वापरायचे ते सांगितले pam_cracklibसिस्टमवरील पासवर्ड अधिक जटिल करण्यासाठी रेड हॅट ९ किंवा CentOS. Red Hat 7 मध्ये pam_pwquality बदलले cracklib म्हणून pam पासवर्ड तपासण्यासाठी डीफॉल्ट मॉड्यूल. मॉड्यूल pam_pwquality Ubuntu आणि CentOS तसेच इतर अनेक OS वर देखील समर्थित आहे. वापरकर्ते तुमची पासवर्ड सामर्थ्य मानके स्वीकारतात याची खात्री करण्यासाठी हे मॉड्यूल पासवर्ड धोरणे तयार करणे सोपे करते.

बर्याच काळापासून, पासवर्डचा सामान्य दृष्टीकोन वापरकर्त्याला अप्परकेस, लोअरकेस, संख्या किंवा इतर चिन्हे वापरण्यास भाग पाडणे हा होता. पासवर्डच्या जटिलतेसाठीच्या या मूलभूत नियमांचा गेल्या दहा वर्षांत मोठ्या प्रमाणावर प्रचार करण्यात आला आहे. ही चांगली प्रथा आहे की नाही याबद्दल बरीच चर्चा झाली आहे. अशा क्लिष्ट परिस्थिती सेट करण्याविरुद्ध मुख्य युक्तिवाद असा होता की वापरकर्ते कागदाच्या तुकड्यांवर पासवर्ड लिहून ठेवतात आणि ते असुरक्षितपणे साठवतात.

अलीकडेच प्रश्न विचारण्यात आलेले दुसरे धोरण वापरकर्त्यांना दर x दिवसांनी त्यांचे पासवर्ड बदलण्यास भाग पाडते. असे काही अभ्यास झाले आहेत की हे सुरक्षेसाठी देखील हानिकारक आहे.

या चर्चेच्या विषयावर अनेक लेख लिहिले गेले आहेत, जे एक किंवा दुसर्या दृष्टिकोनाचे समर्थन करतात. परंतु आपण या लेखात याबद्दल चर्चा करणार नाही. हा लेख सुरक्षा धोरण व्यवस्थापित करण्याऐवजी पासवर्डची जटिलता योग्यरित्या कशी सेट करावी याबद्दल चर्चा करेल.

पासवर्ड धोरण सेटिंग्ज

खाली तुम्हाला पासवर्ड धोरण पर्याय आणि प्रत्येकाचे संक्षिप्त वर्णन दिसेल. त्यापैकी बरेच मॉड्यूलमधील पॅरामीटर्ससारखे आहेत cracklib. हा दृष्टीकोन लेगसी सिस्टममधून तुमची धोरणे पोर्ट करणे सोपे करते.

• मला माफ करा - तुमच्या नवीन पासवर्डमधील वर्णांची संख्या जी तुमच्या जुन्या पासवर्डमध्ये नसावी. (डिफॉल्ट ५)
• मिलन - किमान पासवर्ड लांबी. (डिफॉल्ट ९)
• युक्रेडिट – अप्परकेस वर्ण वापरण्यासाठी क्रेडिटची कमाल संख्या (जर पॅरामीटर > 0), किंवा अप्परकेस वर्णांची किमान आवश्यक संख्या (जर पॅरामीटर <0 असेल तर). डीफॉल्ट 1 आहे.
• क्रेडिट — लोअरकेस वर्ण वापरण्यासाठी क्रेडिट्सची कमाल संख्या (जर पॅरामीटर > 0 असेल), किंवा किमान आवश्यक लोअरकेस वर्णांची संख्या (जर पॅरामीटर <0 असेल तर). डीफॉल्ट 1 आहे.
• क्रेडिट — अंक वापरण्यासाठी क्रेडिट्सची कमाल संख्या (जर पॅरामीटर > 0 असेल), किंवा किमान आवश्यक अंकांची संख्या (जर पॅरामीटर <0 असेल तर). डीफॉल्ट 1 आहे.
• तो विश्वास ठेवतो — इतर चिन्हे वापरण्यासाठी क्रेडिटची कमाल संख्या (जर पॅरामीटर > 0 असेल), किंवा इतर चिन्हांची किमान आवश्यक संख्या (जर पॅरामीटर <0 असेल तर). डीफॉल्ट 1 आहे.
• minclass - आवश्यक वर्गांची संख्या सेट करते. वर्गांमध्ये वरील पॅरामीटर्स (अपर केस वर्ण, लोअर केस वर्ण, संख्या, इतर वर्ण) समाविष्ट आहेत. डीफॉल्ट 0 आहे.
• कमाल पुनरावृत्ती - पासवर्डमध्ये एका वर्णाची जास्तीत जास्त वेळा पुनरावृत्ती होऊ शकते. डीफॉल्ट 0 आहे.
• maxclassrepeat — एका वर्गात सलग वर्णांची कमाल संख्या. डीफॉल्ट 0 आहे.
• gecoscheck - पासवर्डमध्ये वापरकर्त्याच्या GECOS स्ट्रिंगमधील कोणतेही शब्द आहेत का ते तपासते. (वापरकर्ता माहिती, उदा. खरे नाव, स्थान इ.) डीफॉल्ट 0 (बंद) आहे.
• dictpath - चला क्रॅकलिब डिक्शनरी वर जाऊ.
• वाईट शब्द - स्पेस-विभक्त शब्द जे पासवर्डमध्ये प्रतिबंधित आहेत (कंपनीचे नाव, शब्द "पासवर्ड" इ.).

जर कर्जाची संकल्पना विचित्र वाटत असेल तर ते ठीक आहे, ते सामान्य आहे. आम्ही पुढील विभागांमध्ये याबद्दल अधिक बोलू.

पासवर्ड पॉलिसी कॉन्फिगरेशन

तुम्ही कॉन्फिगरेशन फाइल्स संपादित करण्यास सुरुवात करण्यापूर्वी, मूलभूत पासवर्ड धोरण अगोदरच लिहून ठेवणे हा एक चांगला सराव आहे. उदाहरणार्थ, आम्ही खालील अडचण नियम वापरू:

• पासवर्डमध्ये किमान 15 वर्ण असणे आवश्यक आहे.
• पासवर्डमध्‍ये समान वर्ण दोनपेक्षा जास्त वेळा पुनरावृत्ती करू नये.
• अक्षर वर्ग एका पासवर्डमध्ये चार वेळा पुनरावृत्ती होऊ शकतात.
• पासवर्डमध्ये प्रत्येक वर्गातील वर्ण असणे आवश्यक आहे.
• जुन्या पासवर्डच्या तुलनेत नवीन पासवर्डमध्ये 5 नवीन वर्ण असणे आवश्यक आहे.
• GECOS चेक सक्षम करा.
• "पासवर्ड, पास, शब्द, पुटोरियस" या शब्दांना प्रतिबंधित करा

आता आम्ही धोरण तयार केले आहे, आम्ही फाइल संपादित करू शकतो /etc/security/pwquality.confपासवर्ड जटिलता आवश्यकता वाढवण्यासाठी. अधिक चांगल्या प्रकारे समजून घेण्यासाठी टिप्पण्यांसह खाली एक उदाहरण फाइल आहे.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

तुमच्या लक्षात आले असेल की, आमच्या फाइलमधील काही पॅरामीटर्स अनावश्यक आहेत. उदाहरणार्थ, पॅरामीटर minclass निरर्थक आहे कारण आम्ही फील्ड वापरून वर्गातील किमान दोन वर्ण आधीच वापरतो [u,l,d,o]credit. आमची वापरता येणार नाही अशा शब्दांची यादी देखील अनावश्यक आहे, कारण आम्ही कोणत्याही वर्गाची 4 वेळा पुनरावृत्ती करण्यास मनाई केली आहे (आमच्या यादीतील सर्व शब्द लोअरकेस वर्णांमध्ये लिहिलेले आहेत). तुमचे पासवर्ड धोरण कॉन्फिगर करण्यासाठी ते कसे वापरायचे हे दाखवण्यासाठी मी हे पर्याय समाविष्ट केले आहेत.
एकदा तुम्ही तुमची पॉलिसी तयार केल्यानंतर, तुम्ही वापरकर्त्यांनी पुढील वेळी लॉग इन केल्यावर त्यांचे पासवर्ड बदलण्यास भाग पाडू शकता. प्रणाली.

आणखी एक विचित्र गोष्ट तुमच्या लक्षात आली असेल ती म्हणजे फील्ड [u,l,d,o]credit एक ऋण संख्या आहे. याचे कारण असे की 0 पेक्षा मोठे किंवा बरोबरीचे आकडे तुमच्या पासवर्डमधील वर्ण वापरण्याचे श्रेय देतात. फील्डमध्ये ऋण संख्या असल्यास, याचा अर्थ एक विशिष्ट प्रमाण आवश्यक आहे.

कर्जे म्हणजे काय?

मी त्यांना कर्ज म्हणतो कारण ते त्यांचा उद्देश शक्य तितक्या अचूकपणे व्यक्त करते. पॅरामीटर मूल्य 0 पेक्षा जास्त असल्यास, तुम्ही पासवर्डच्या लांबीमध्ये "x" च्या समान "कॅरेक्टर क्रेडिट्स" जोडता. उदाहरणार्थ, जर सर्व पॅरामीटर्स (u,l,d,o)credit 1 वर सेट करा आणि आवश्यक पासवर्डची लांबी 6 होती, नंतर तुम्हाला लांबीची आवश्यकता पूर्ण करण्यासाठी 6 वर्णांची आवश्यकता असेल कारण प्रत्येक अप्परकेस, लोअरकेस, अंक किंवा इतर वर्ण तुम्हाला एक क्रेडिट देईल.

आपण स्थापित केल्यास dcredit 2 वर, तुम्ही सैद्धांतिकदृष्ट्या 9 वर्ण लांबीचा पासवर्ड वापरू शकता आणि संख्यांसाठी 2 वर्ण क्रेडिट्स मिळवू शकता आणि नंतर पासवर्डची लांबी आधीच 10 असू शकते.

हे उदाहरण पहा. मी पासवर्डची लांबी 13 वर सेट केली आहे, dcredit 2 वर सेट केली आहे आणि बाकी सर्व काही 0 वर सेट केले आहे.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

माझा पहिला चेक अयशस्वी झाला कारण पासवर्ड 13 वर्णांपेक्षा कमी होता. पुढच्या वेळी मी "I" हे अक्षर "1" मध्ये बदलले आणि नंबरसाठी दोन क्रेडिट मिळाले, ज्याने पासवर्ड 13 च्या समान केला.

पासवर्ड चाचणी

पॅकेज libpwquality लेखात वर्णन केलेली कार्यक्षमता प्रदान करते. तो एक कार्यक्रम देखील येतो pwscore, जी पासवर्डची जटिलता तपासण्यासाठी डिझाइन केलेली आहे. आम्ही ते कर्ज तपासण्यासाठी वर वापरले.
उपयुक्तता pwscore पासून वाचतो stdin. फक्त युटिलिटी चालवा आणि तुमचा पासवर्ड लिहा, ते 0 ते 100 पर्यंत त्रुटी किंवा मूल्य प्रदर्शित करेल.

पासवर्ड गुणवत्ता स्कोअर पॅरामीटरशी संबंधित आहे minlen कॉन्फिगरेशन फाइलमध्ये. सर्वसाधारणपणे, ५० पेक्षा कमी स्कोअर हा "सामान्य पासवर्ड" मानला जातो आणि त्यापेक्षा जास्त स्कोअर हा "स्ट्राँग पासवर्ड" मानला जातो. गुणवत्ता तपासणी उत्तीर्ण करणारा कोणताही पासवर्ड (विशेषत: सक्तीची पडताळणी cracklib) ने डिक्शनरी हल्ल्यांचा सामना केला पाहिजे आणि सेटिंगसह 50 पेक्षा जास्त स्कोअर असलेला पासवर्ड minlen अगदी डीफॉल्टनुसार brute force हल्ले

निष्कर्ष

समायोजन pwquality - वापराच्या गैरसोयीच्या तुलनेत ते सोपे आणि सोपे आहे cracklib थेट फाइल संपादनासह pam. या मार्गदर्शकामध्ये, आम्ही Red Hat 7, CentOS 7 आणि अगदी Ubuntu सिस्टीमवर पासवर्ड धोरणे सेट करताना आपल्याला आवश्यक असलेल्या सर्व गोष्टींचा समावेश केला आहे. आम्ही कर्जाच्या संकल्पनेबद्दल देखील बोललो, ज्याबद्दल क्वचितच तपशीलवार लिहिलेले आहे, म्हणून हा विषय ज्यांना यापूर्वी आला नव्हता त्यांच्यासाठी हा विषय अनेकदा अस्पष्ट राहिला.

स्त्रोत:

pwquality man page
pam_pwquality मॅन पेज
pwscore man page

उपयुक्त दुवे:

सुरक्षित पासवर्ड निवडणे - ब्रूस श्नियर
Lorrie Faith Cranor CMU मध्ये तिच्या पासवर्ड अभ्यासावर चर्चा करते
एन्ट्रॉपीवरील कुप्रसिद्ध xkcd कार्टून

स्त्रोत: www.habr.com