Креирање политике лозинки у Линуку

Здраво поново! Настава у новој групи курсева почиње сутра "Линук администратор", с тим у вези, објављујемо користан чланак на ту тему.

У претходном туторијалу рекли смо вам како да користите pam_cracklibда лозинке на системима буду сложеније Црвени шешир 6 или ЦентОС. У Ред Хату 7 pam_pwquality замењен cracklib као pam подразумевани модул за проверу лозинки. Модул pam_pwquality такође подржан на Убунту и ЦентОС, као и на многим другим ОС-овима. Овај модул олакшава креирање политика лозинки како би се осигурало да корисници прихватају стандарде јачине лозинке.

Дуго времена, уобичајени приступ лозинкама био је приморавање корисника да користи велика, мала слова, бројеве или друге симболе. Ова основна правила за сложеност лозинки су нашироко промовисана у последњих десет година. Било је доста дискусија о томе да ли је ово добра пракса или не. Главни аргумент против постављања тако сложених услова био је да корисници записују лозинке на комаде папира и небезбедно их чувају.

Друга политика која је недавно доведена у питање приморава кориснике да мењају своје лозинке сваких к дана. Било је неких студија које су показале да је то такође штетно по безбедност.

На тему ових дискусија написано је много чланака, који поткрепљују једно или друго гледиште. Али ово није оно о чему ћемо разговарати у овом чланку. Овај чланак ће говорити о томе како правилно поставити сложеност лозинке уместо да управљате безбедносном политиком.

Подешавања политике лозинке

Испод ћете видети опције политике лозинки и кратак опис сваке од њих. Многи од њих су слични параметрима у модулу cracklib. Овај приступ олакшава пренос ваших политика из застарелог система.

• дифок – Број знакова у вашој новој лозинки који НЕ би требало да буду присутни у вашој старој лозинки. (Подразумевано 5)
• минлен – Минимална дужина лозинке. (Подразумевано 9)
• уцредит – Максималан број кредита за коришћење великих слова (ако је параметар > 0), или минимални потребан број великих знакова (ако је параметар < 0). Подразумевано је 1.
• лцредит — Максималан број кредита за коришћење малих слова (ако је параметар > 0), или минимални потребан број малих знакова (ако је параметар < 0). Подразумевано је 1.
• дцредит — Максимални број кредита за коришћење цифара (ако је параметар > 0), или минимални потребан број цифара (ако је параметар < 0). Подразумевано је 1.
• оцредит — Максимални број кредита за коришћење других симбола (ако је параметар > 0), или минимални потребан број других симбола (ако је параметар < 0). Подразумевано је 1.
• минцласс – Подешава потребан број часова. Класе укључују горенаведене параметре (велика слова, мала слова, бројеве, друге знакове). Подразумевано је 0.
• макрепеат – Максималан број пута који знак може да се понови у лозинки. Подразумевано је 0.
• макцлассрепеат — Максималан број узастопних карактера у једном разреду. Подразумевано је 0.
• гецосцхецк – Проверава да ли лозинка садржи било коју реч из корисничких ГЕЦОС стрингова. (Информације о кориснику, тј. право име, локација, итд.) Подразумевано је 0 (искључено).
• дицтпатх – Идемо на црацклиб речнике.
• ружне речи – Речи раздвојене размаком које су забрањене у лозинкама (назив компаније, реч „лозинка“ итд.).

Ако концепт кредита звучи чудно, у реду је, нормално је. О томе ћемо више говорити у наредним одељцима.

Конфигурација политике лозинке

Пре него што почнете да уређујете конфигурационе датотеке, добра је пракса да унапред запишете основну политику лозинке. На пример, користићемо следећа правила тежине:

• Лозинка мора имати минималну дужину од 15 знакова.
• Исти знак не би требало да се понавља више од два пута у лозинки.
• Класе знакова се могу поновити до четири пута у лозинки.
• Лозинка мора да садржи знакове из сваке класе.
• Нова лозинка мора имати 5 нових знакова у поређењу са старом.
• Омогући проверу ГЕЦОС-а.
• Забранити речи „пассворд, пасс, ворд, путориус“

Сада када смо поставили смернице, можемо да уредимо датотеку /etc/security/pwquality.confза повећање захтева за сложеношћу лозинки. Испод је пример датотеке са коментарима за боље разумевање.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Као што сте можда приметили, неки параметри у нашој датотеци су сувишни. На пример, параметар minclass је сувишно пошто већ користимо најмање два знака из класе користећи поља [u,l,d,o]credit. Наша листа речи које се не могу користити је такође сувишна, пошто смо забранили понављање било које класе 4 пута (све речи на нашој листи су написане малим словима). Укључио сам ове опције само да бих показао како да их користите за конфигурисање политике лозинке.
Када креирате своју политику, можете натерати кориснике да промене своје лозинке следећи пут када се пријаве. систем.

Још једна чудна ствар коју сте можда приметили је да су поља [u,l,d,o]credit садрже негативан број. То је зато што ће бројеви већи или једнаки 0 дати заслуге за коришћење знака у вашој лозинки. Ако поље садржи негативан број, то значи да је потребна одређена количина.

Шта су кредити?

Зовем их кредитима јер то што тачније преноси њихову сврху. Ако је вредност параметра већа од 0, дужини лозинке додајете број „кредита знакова“ једнак „к“. На пример, ако су сви параметри (u,l,d,o)credit постављено на 1, а потребна дужина лозинке је била 6, онда ће вам требати 6 знакова да бисте задовољили захтев за дужину јер ће вам свако велико, мало слово, цифра или други знак дати један кредит.

Ако инсталирате dcredit на 2, теоретски бисте могли да користите лозинку дугу 9 знакова и да добијете 2 знака за бројеве, а онда би дужина лозинке већ могла бити 10.

Погледајте овај пример. Поставио сам дужину лозинке на 13, дцредит на 2, а све остало на 0.

$ pwscore
 Thisistwelve
 Password quality check failed:
  The password is shorter than 13 characters

$ pwscore
 Th1sistwelve
 18

Моја прва провера није успела јер је лозинка била мања од 13 знакова. Следећи пут сам променио слово „И“ у број „1“ и добио два кредита за бројеве, што је лозинку учинило једнаком 13.

Тестирање лозинке

Пластична кеса libpwquality пружа функционалност описану у чланку. Такође долази са програмом pwscore, који је дизајниран да провери сложеност лозинке. Користили смо га изнад за проверу кредита.
Корисност pwscore чита из стдин. Само покрените услужни програм и упишите своју лозинку, приказаће се грешка или вредност од 0 до 100.

Оцена квалитета лозинке је повезана са параметром minlen у конфигурационој датотеци. Уопштено говорећи, резултат мањи од 50 сматра се „нормалном лозинком“, а резултат изнад њега сматра се „јаком лозинком“. Свака лозинка која пролази проверу квалитета (посебно принудну верификацију cracklib) мора да издржи нападе из речника и лозинку са оценом изнад 50 са поставком minlen чак и подразумевано brute force напада.

Закључак

подешавање pwquality – лако је и једноставно у поређењу са непријатношћу коришћења cracklib са директним уређивањем датотека pam. У овом водичу смо покрили све што ће вам требати када постављате политике лозинки на Ред Хат 7, ЦентОС 7, па чак и на Убунту системима. Разговарали смо и о појму кредита, о коме се ретко пише детаљно, па је ова тема често остајала нејасна онима који се раније са њом нису сусрели.

Извори:

пвкуалити ман страница
пам_пвкуалити ман страница
пвсцоре ман страница

Корисни линкови:

Одабир сигурних лозинки – Бруце Сцхнеиер
Лоррие Фаитх Цранор говори о својим студијама лозинки на ЦМУ
Злогласни ккцд цртани филм о Ентропији

Извор: ввв.хабр.цом