लिनक्समा पासवर्ड नीति सिर्जना गर्दै

फेरी अभिवादन! नयाँ पाठ्यक्रम समूहका कक्षाहरू भोलिदेखि सुरु हुनेछन् "लिनक्स प्रशासक"यस सन्दर्भमा, हामी यस विषयमा उपयोगी लेख प्रकाशित गर्दैछौं।

अघिल्लो ट्युटोरियलमा हामीले तपाईंलाई कसरी प्रयोग गर्ने भनेर बतायौं pam_cracklibप्रणालीहरूमा पासवर्डहरू थप जटिल बनाउन रेड ह्याट ९ वा CentOS। Red Hat 7 मा pam_pwquality प्रतिस्थापित cracklib रूपमा pam पासवर्ड जाँचको लागि पूर्वनिर्धारित मोड्युल। मोड्युल pam_pwquality Ubuntu र CentOS, साथै धेरै अन्य OS मा पनि समर्थित। यो मोड्युलले प्रयोगकर्ताहरूले तपाइँको पासवर्ड बलियो मापदण्डहरू स्वीकार गरेको सुनिश्चित गर्न पासवर्ड नीतिहरू सिर्जना गर्न सजिलो बनाउँछ।

लामो समयको लागि, पासवर्डहरूको साझा दृष्टिकोण प्रयोगकर्तालाई अपरकेस, लोअरकेस, नम्बरहरू, वा अन्य प्रतीकहरू प्रयोग गर्न बाध्य पार्नु थियो। पासवर्ड जटिलताका लागि यी आधारभूत नियमहरू विगत दस वर्षहरूमा व्यापक रूपमा प्रचार गरिएको छ। यो राम्रो अभ्यास हो कि होइन भन्ने विषयमा धेरै बहस भएको छ । यस्तो जटिल अवस्थाहरू सेट गर्ने बिरूद्ध मुख्य तर्क प्रयोगकर्ताहरूले कागजका टुक्राहरूमा पासवर्डहरू लेख्ने र तिनीहरूलाई असुरक्षित रूपमा भण्डारण गर्ने थियो।

हालसालै प्रश्नमा बोलाइएको अर्को नीतिले प्रयोगकर्ताहरूलाई प्रत्येक x दिनमा आफ्नो पासवर्ड परिवर्तन गर्न बाध्य पार्छ। त्यहाँ केही अध्ययनहरू छन् जसले देखाएको छ कि यो सुरक्षाको लागि पनि हानिकारक छ।

यी छलफलहरूको विषयमा धेरै लेखहरू लेखिएका छन्, जसले कुनै न कुनै दृष्टिकोणलाई पुष्टि गर्छ। तर यो हामी यस लेखमा छलफल गर्नेछैनौं। यस लेखले सुरक्षा नीति व्यवस्थापन गर्नुको सट्टा पासवर्ड जटिलता कसरी सही तरिकाले सेट गर्ने भन्ने बारे कुरा गर्नेछ।

पासवर्ड नीति सेटिङहरू

तल तपाईले पासवर्ड नीति विकल्पहरू र प्रत्येकको संक्षिप्त विवरण देख्नुहुनेछ। तिनीहरू मध्ये धेरै मोड्युल मा प्यारामिटर समान छन् cracklib। यस दृष्टिकोणले विरासत प्रणालीबाट तपाईंको नीतिहरू पोर्ट गर्न सजिलो बनाउँछ।

• difok - तपाईंको नयाँ पासवर्डमा वर्णहरूको संख्या जुन तपाईंको पुरानो पासवर्डमा उपस्थित हुनु हुँदैन। (पूर्वनिर्धारित ५)
• minlen - न्यूनतम पासवर्ड लम्बाइ। (पूर्वनिर्धारित ९)
• उधारो - अपरकेस क्यारेक्टरहरू (यदि प्यारामिटर > ०), वा अपरकेस क्यारेक्टरहरूको न्यूनतम आवश्यक संख्या (यदि प्यारामिटर <0) प्रयोग गर्नका लागि क्रेडिटहरूको अधिकतम संख्या। पूर्वनिर्धारित 0 हो।
• lक्रेडिट - लोअरकेस क्यारेक्टरहरू (यदि प्यारामिटर > ०) प्रयोग गर्नका लागि क्रेडिटहरूको अधिकतम संख्या, वा सानो अक्षरहरूको न्यूनतम आवश्यक संख्या (यदि प्यारामिटर <0)। पूर्वनिर्धारित 0 हो।
• dcredit — अंकहरू प्रयोग गर्नका लागि क्रेडिटहरूको अधिकतम संख्या (यदि प्यारामिटर > ०), वा न्यूनतम आवश्यक संख्याहरू (यदि प्यारामिटर <0)। पूर्वनिर्धारित 0 हो।
• क्रेडिट — अन्य प्रतीकहरू प्रयोग गर्नका लागि क्रेडिटहरूको अधिकतम संख्या (यदि प्यारामिटर > ०), वा अन्य प्रतीकहरूको न्यूनतम आवश्यक संख्या (यदि प्यारामिटर <0)। पूर्वनिर्धारित 0 हो।
• न्यूनतम वर्ग - आवश्यक कक्षाहरूको संख्या सेट गर्नुहोस्। कक्षाहरूमा माथिका प्यारामिटरहरू (अपर केस क्यारेक्टरहरू, लोअर केस क्यारेक्टरहरू, नम्बरहरू, अन्य क्यारेक्टरहरू) समावेश हुन्छन्। पूर्वनिर्धारित ० हो।
• अधिकतम दोहोर्याउनुहोस् - पासवर्डमा एक क्यारेक्टर दोहोर्याइएको अधिकतम संख्या। पूर्वनिर्धारित ० हो।
• maxclassrepeat - एक कक्षामा लगातार वर्णहरूको अधिकतम संख्या। पूर्वनिर्धारित ० हो।
• gecoscheck - पासवर्डमा प्रयोगकर्ताको GECOS स्ट्रिङहरूबाट कुनै शब्दहरू छन् कि छैनन् भनी जाँच गर्दछ। (प्रयोगकर्ता जानकारी, अर्थात् वास्तविक नाम, स्थान, आदि) पूर्वनिर्धारित 0 (बन्द) हो।
• dictpath - क्र्याकलिब शब्दकोशहरूमा जाऔं।
• नराम्रो शब्द - स्पेस-पृथक शब्दहरू जुन पासवर्डहरूमा निषेधित छन् (कम्पनी नाम, शब्द "पासवर्ड", आदि)।

यदि ऋणको अवधारणा अनौठो लाग्छ, यो ठीक छ, यो सामान्य छ। हामी निम्न खण्डहरूमा यस बारे थप कुरा गर्नेछौं।

पासवर्ड नीति कन्फिगरेसन

तपाईंले कन्फिगरेसन फाइलहरू सम्पादन सुरु गर्नु अघि, पहिले नै आधारभूत पासवर्ड नीति लेख्नु राम्रो अभ्यास हो। उदाहरणका लागि, हामी निम्न कठिनाई नियमहरू प्रयोग गर्नेछौं:

• पासवर्डमा न्यूनतम १५ वर्णको लम्बाइ हुनुपर्छ।
• पासवर्डमा एउटै क्यारेक्टर दुई पटक भन्दा बढी दोहोर्याउनु हुँदैन।
• क्यारेक्टर कक्षाहरू पासवर्डमा चार पटकसम्म दोहोर्याउन सकिन्छ।
• पासवर्डमा प्रत्येक कक्षाका अक्षरहरू हुनुपर्छ।
• पुरानो पासवर्डको तुलनामा नयाँ पासवर्डमा ५ नयाँ क्यारेक्टर हुनुपर्छ।
• GECOS जाँच सक्षम गर्नुहोस्।
• "पासवर्ड, पास, शब्द, पुटोरियस" शब्दहरू निषेध गर्नुहोस्

अब हामीले नीति राखेका छौं, हामी फाइल सम्पादन गर्न सक्छौं /etc/security/pwquality.confपासवर्ड जटिलता आवश्यकताहरू बढाउन। तल राम्रो बुझ्नको लागि टिप्पणीहरु संग एक उदाहरण फाइल छ।

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

तपाईंले याद गर्नुभएको हुनसक्छ, हाम्रो फाइलमा केही प्यारामिटरहरू अनावश्यक छन्। उदाहरणका लागि, प्यारामिटर minclass हामीले पहिले नै फिल्डहरू प्रयोग गरेर कक्षाबाट कम्तीमा दुई क्यारेक्टरहरू प्रयोग गरिसकेकाले अनावश्यक छ [u,l,d,o]credit। हामीले प्रयोग गर्न नसकिने शब्दहरूको सूची पनि अनावश्यक छ, किनकि हामीले कुनै पनि कक्षा 4 पटक दोहोर्याउन निषेध गरेका छौं (हाम्रो सूचीका सबै शब्दहरू सानो अक्षरमा लेखिएका छन्)। मैले यी विकल्पहरूलाई तपाइँको पासवर्ड नीति कन्फिगर गर्न कसरी प्रयोग गर्ने भनेर देखाउनको लागि मात्र समावेश गरेको छु।
एकचोटि तपाईंले आफ्नो नीति बनाइसकेपछि, तपाईंले प्रयोगकर्ताहरूलाई अर्को पटक लग इन गर्दा उनीहरूको पासवर्डहरू परिवर्तन गर्न बाध्य पार्न सक्नुहुन्छ। प्रणाली.

अर्को अनौठो कुरा तपाईंले याद गर्नुभएको हुन सक्छ कि क्षेत्रहरू [u,l,d,o]credit ऋणात्मक संख्या समावेश गर्दछ। यो किनभने ० भन्दा ठूला वा बराबर संख्याहरूले तपाईंको पासवर्डमा क्यारेक्टर प्रयोग गर्न क्रेडिट दिनेछन्। यदि फिल्डमा ऋणात्मक संख्या समावेश छ भने, यसको मतलब निश्चित मात्रा आवश्यक छ।

ऋण के हो?

म तिनीहरूलाई ऋण भन्छु किनभने यसले उनीहरूको उद्देश्यलाई सकेसम्म सही रूपमा बुझाउँछ। यदि प्यारामिटर मान ० भन्दा ठूलो छ भने, तपाईंले पासवर्ड लम्बाइमा "x" बराबरको "क्यारेक्टर क्रेडिटहरू" थप्नुहोस्। उदाहरणका लागि, यदि सबै प्यारामिटरहरू (u,l,d,o)credit 1 मा सेट गर्नुहोस्, र आवश्यक पासवर्ड लम्बाइ 6 थियो, त्यसपछि तपाईंलाई लम्बाइ आवश्यकता पूरा गर्न 6 क्यारेक्टरहरू चाहिन्छ, किनभने प्रत्येक अपरकेस, लोअरकेस, अंक, वा अन्य क्यारेक्टरले तपाईंलाई एक क्रेडिट दिनेछ।

यदि तपाइँ स्थापना गर्नुहुन्छ dcredit 2 मा, तपाईंले सैद्धान्तिक रूपमा 9 क्यारेक्टर लामो पासवर्ड प्रयोग गर्न सक्नुहुन्छ र नम्बरहरूको लागि 2 क्यारेक्टर क्रेडिटहरू प्राप्त गर्न सक्नुहुन्छ, र त्यसपछि पासवर्ड लम्बाइ पहिले नै 10 हुन सक्छ।

यो उदाहरण हेर्नुहोस्। मैले पासवर्डको लम्बाइ 13 मा सेट गरें, dcredit लाई 2 मा सेट गरें, र अरू सबै कुरा 0 मा सेट गरें।

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

मेरो पहिलो जाँच असफल भयो किनभने पासवर्ड 13 वर्ण भन्दा कम लामो थियो। अर्को पटक मैले अक्षर "I" लाई नम्बर "1" मा परिवर्तन गरें र नम्बरहरूको लागि दुई क्रेडिटहरू प्राप्त गरें, जसले पासवर्डलाई 13 बराबर बनायो।

पासवर्ड परीक्षण

प्याकेज libpwquality लेखमा वर्णन गरिएको कार्यक्षमता प्रदान गर्दछ। यो पनि एक कार्यक्रम संग आउँछ pwscore, जुन पासवर्ड जटिलता जाँच गर्न डिजाइन गरिएको हो। हामीले यसलाई ऋण जाँच गर्न माथि प्रयोग गर्यौं।
उपयोगिता pwscore बाट पढ्छ stdin। केवल उपयोगिता चलाउनुहोस् र आफ्नो पासवर्ड लेख्नुहोस्, यसले त्रुटि वा 0 देखि 100 सम्मको मान देखाउनेछ।

पासवर्ड गुणस्तर स्कोर प्यारामिटरसँग सम्बन्धित छ minlen कन्फिगरेसन फाइलमा। सामान्यतया, ५० भन्दा कम अंकलाई "सामान्य पासवर्ड" मानिन्छ, र त्यसभन्दा माथिको स्कोरलाई "बलियो पासवर्ड" मानिन्छ। गुणस्तर जाँच पास गर्ने कुनै पनि पासवर्ड (विशेष गरी जबरजस्ती प्रमाणीकरण cracklib) शब्दकोष आक्रमणहरूको सामना गर्नुपर्दछ, र सेटिङको साथ 50 भन्दा माथिको स्कोर भएको पासवर्ड minlen पूर्वनिर्धारित रूपमा पनि brute force आक्रमणहरू।

निष्कर्षमा

समायोजन pwquality - प्रयोगको असुविधाको तुलनामा यो सजिलो र सरल छ cracklib प्रत्यक्ष फाइल सम्पादन संग pam। यस गाइडमा, हामीले Red Hat 7, CentOS 7, र Ubuntu प्रणालीहरूमा पासवर्ड नीतिहरू सेटअप गर्दा तपाईंलाई आवश्यक पर्ने सबै कुराहरू समावेश गरेका छौं। हामीले ऋणको अवधारणाको बारेमा पनि कुरा गर्यौं, जसको बारेमा विरलै नै विस्तृत रूपमा लेखिएको छ, त्यसैले यो विषय प्रायः ती व्यक्तिहरूलाई अस्पष्ट रह्यो जसले पहिले यो सामना गरेका थिएनन्।

स्रोतहरू:

pwquality म्यान पृष्ठ
pam_pwquality man पृष्ठ
pwscore म्यान पृष्ठ

उपयोगी लिंकहरू:

सुरक्षित पासवर्डहरू छनौट गर्दै - ब्रुस स्नेयर
Lorrie Faith Cranor CMU मा उनको पासवर्ड अध्ययन बारे छलफल गर्छिन्
Entropy मा कुख्यात xkcd कार्टुन

स्रोत: www.habr.com