Oppretting av passordpolitikk i Linux

Og igjen, hei! Allerede i morgen begynner undervisningen i den nye gruppen av kurset «Linux-administrator», derfor publiserer vi en nyttig artikkel om emnet.

I forrige opplæring snakket vi om hvordan man bruker pam_cracklib, for å styrke passordene i systemene Red Hat 6 eller CentOS. I Red Hat 7 pam_pwquality erstatte cracklib som pam standardmodulen for passordkontroll. Modulen pam_pwquality støttes også i Ubuntu og CentOS, samt mange andre operativsystemer. Denne modulen forenkler opprettingen av passordpolicyer for å sikre at brukerne følger dine standarder for passordkompleksitet.

I lang tid har den vanlige tilnærmingen til passord vært å tvinge brukeren til å bruke både store og små bokstaver, tall eller andre tegn. Disse grunnleggende kravene til passordkompleksitet har vært aktivt promotert de siste ti årene. Det har vært mange diskusjoner om hvorvidt dette er en god praksis eller ikke. Hovedargumentet mot å sette slike komplekse betingelser har vært at brukerne skriver ned passordene på papir og lagrer dem usikkert.

En annen politikk som nylig har blitt satt på prøve, tvinger brukerne til å endre passordene sine hver x dager. Det har blitt utført noen undersøkelser som har vist at dette også kan skade sikkerheten.

Det har blitt skrevet mange artikler om disse diskusjonene som har argumentert for den ene eller den andre siden. Men det er ikke det vi skal diskutere i denne artikkelen. Denne artikkelen vil handle om hvordan man korrekt setter krav til passordkompleksitet, ikke hvordan man styrer sikkerhetspolicy.

Passordpolicy parametere

Nedenfor vil du se passordpolicy parametere og en kort beskrivelse av hver av dem. Mange av dem ligner på parameterne i modulen cracklib. Denne tilnærmingen forenkler overføringen av dine policyer fra det gamle systemet.

• difok – Antall tegn i ditt nye passord som IKKE skal være til stede i ditt gamle passord. (Standard 5)
• minlen – Minimum lengde på passordet. (Standard 9)
• ucredit – Maksimalt antall kreditter for bruk av store bokstaver (hvis parameteren > 0), eller minimum krevd antall store bokstaver (hvis parameteren < 0). Standard 1.
• lcredit — Maksimalt antall kreditter for bruk av små bokstaver (hvis parameteren > 0), eller minimumsantall som kreves av små bokstaver (hvis parameteren < 0). Som standard 1.
• dcredit — Maksimalt antall kreditter for bruk av tall (hvis parameteren > 0), eller minimumsantall som kreves av tall (hvis parameteren < 0). Som standard 1.
• ocredit — Maksimalt antall kreditter for bruk av andre tegn (hvis parameteren > 0), eller minimumsantall som kreves av andre tegn (hvis parameteren < 0). Som standard 1.
• minclass – Angir antall nødvendige klasser. Klassene inkluderer de ovennevnte parameterne (store bokstaver, små bokstaver, tall, andre tegn). Som standard 0.
• maxrepeat – Maksimalt antall gjentakelser av et tegn i passordet. Som standard 0.
• maxclassrepeat — Maksimalt antall sammenhengende tegn i én klasse. Som standard 0.
• gecoscheck – Sjekker om passordet inneholder noen ord fra brukeren GECOS-strenger. (Informasjon om brukeren, dvs. fullstendig navn, beliggenhet osv.) Som standard 0 (deaktivert).
• dictpath – Sti til cracklib-ordbøker.
• badwords – Ord som er forbudt i passord (som firmanavn, ordet «passord» osv.).

Hvis bruken av kreditter høres merkelig ut, er det helt greit. Vi vil gå mer i dybden om dette i de kommende seksjonene.

Passordpolicy-konfigurasjon

Før vi begynner å redigere konfigurasjonsfiler, er det en god praksis å skrive ned grunnleggende passordpolicy på forhånd. For eksempel, vi vil bruke følgende kompleksitetsregler:

• Passordet må ha en minimumslengde på 15 tegn.
• I passordet skal ikke det samme tegnet gjentas mer enn to ganger.
• I passordet kan symbolklasser gjentas opptil fire ganger.
• Passordet må inneholde tegn fra hver klasse.
• Det nye passordet må ha 5 nye tegn sammenlignet med det gamle.
• Aktiver GECOS-sjekk.
• Forby ord som «password, pass, word, putorius»

Nå, så snart vi har lagt frem policyen, kan vi redigere filen /etc/security/pwquality.conf, for å styrke kravene til passordkompleksitet. Nedenfor er et eksempel på en fil med kommentarer for bedre forståelse.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Som du kanskje har lagt merke til, er noen parametere i filen vår overflødige. For eksempel parameteren minclass overflødig, siden vi allerede bruker minst to tegn fra klassen, ved å bruke feltene [u,l,d,o]credit. Vår liste over ord som ikke kan brukes er også overflødig, ettersom vi har forbudt gjentakelse av en hvilken som helst klasse 4 ganger (alle ord på vår liste er skrevet med små bokstaver). Jeg inkluderte disse alternativene bare for å vise hvordan man kan bruke dem til å tilpasse passordpolitikken.
Når du har opprettet din policy, kan du tvinge brukerne til å endre passordene sine ved neste innlogging til systemet.

En annen merkelig ting du kanskje har lagt merke til, er at feltene [u,l,d,o]credit inneholder et negativt tall. Dette er fordi tall større enn eller lik 0 gir kreditt for bruk av et tegn i passordet ditt. Hvis feltet inneholder et negativt tall, betyr det at det kreves et visst antall.

Hva er kreditter (credit)?

Jeg kaller dem kreditter, da dette mest nøyaktig formidler deres formål. Hvis parameterverdien er større enn 0, legges det til et antall «kreditter per tegn» lik «x» til lengden på passordet. For eksempel, hvis alle parameterne (u,l,d,o)credit er satt til 1, og den nødvendige passordlengden var 6, så trenger du 6 tegn for å oppfylle lengdekravet, siden hvert caps, små bokstaver, tall eller andre tegn gir deg en kreditt.

Hvis du setter dcredit til 2, kan du teoritisk bruke et passord som er 9 tegn langt og få 2 kreditter for tallene, og lengden på passordet kan da være 10.

Se på dette eksemplet. Jeg har satt passordlengden til 13, satt dcredit til 2, og alt annet til 0.

$ pwscore
 Thisistwelve
 Passordkvalitetssjekk feilet:
  Passordet er kortere enn 13 tegn

$ pwscore
 Th1sistwelve
 18

Min første sjekk feilet, siden passordlengden var under 13 tegn. Neste gang endret jeg bokstaven “I” til tallet “1” og fikk to kreditter for tall, noe som gjorde passordet lik 13.

Passordtesting

Pakken libpwquality tilbyr funksjonaliteten beskrevet i artikkelen. Det følger også med et program pwscore, som er ment for å sjekke passordets kompleksitet. Vi brukte det ovenfor for å sjekke kreditter.
Verktøy pwscore leser fra stdin. Bare kjør verktøyet og skriv inn passordet ditt, det vil gi en feil eller en verdi fra 0 til 100.

Kvaliteten på passordet er relatert til parameteren minlen i konfigurasjonsfilen. Generelt vurderes en score under 50 som «normalt passord», mens over det betraktes som «sterkt passord». Et passord som består testen for kvalitet (spesielt den obligatoriske testen cracklib) må motstå ordlisteangrep, og et passord med en score over 50 med standardinnstillingen minlen til og med brute force angrep.

Konklusjon

Konfigurasjon pwquality – det er enkelt og greit sammenlignet med ulempene ved å bruke cracklib direkte redigering av filer pam. I denne guiden har vi dekket alt du trenger for å konfigurere passordpolitikker i Red Hat 7, CentOS 7 og til og med Ubuntu-systemer. Vi har også diskutert konseptet med kreditter, som sjelden blir skrevet om i detalj, så dette emnet har ofte vært uklart for de som ikke har støtt på det før.

Kilder:

pwquality man page
pam_pwquality man page
pwscore man page

Nyttige lenker:

Valg av sikre passord – Bruce Schneier
Lorrie Faith Cranor diskuterer sine passordstudier ved CMU
Den beryktede xkcd-tegneserien om Entropi

Kilde: habr.com