Skapande av lösenordspolicyer i Linux

Hej igen! Redan imorgon börjar lektionerna i den nya gruppen kurset «Linuxadministratör», därför publicerar vi en användbar artikel i ämnet.

I den tidigare tutorialen berättade vi hur man använder pam_cracklib, för att komplicera lösenord i systemen Red Hat 6 eller CentOS. I Red Hat 7 pam_pwquality ersatte cracklib som pam standardsmodulen för lösenordsverifiering. Modulen pam_pwquality stöds också i Ubuntu och CentOS, samt i många andra operativsystem. Den här modulen underlättar skapandet av lösenordspolicys för att säkerställa att användarna följer dina krav på lösenordskomplexitet.

Länge var den vanliga metoden för lösenord att tvinga användare att använda både versaler och gemener, siffror eller andra tecken. Dessa grundläggande regler för lösenordskomplexitet har aktivt propagerats under de senaste tio åren. Det har varit många diskussioner om huruvida detta är en bra praxis eller inte. Huvudargumentet emot att ställa sådana stränga krav var att användare skriver ner lösenord på papper och förvarar dem osäkert.

En annan policy som nyligen tagits i fråga är att tvinga användare att ändra sina lösenord var x:e dag. Vissa studier har visat att detta också kan skada säkerheten.

Det har skrivits många artiklar om dessa diskussioner som försvarar den ena eller den andra åsikten. Men det är inte vad vi kommer att diskutera i den här artikeln. Den här artikeln handlar om hur man korrekt ställer in lösenordskomplexitet, snarare än att hantera säkerhetspolicyer.

Inställningar för lösenordspolicy

Nedan ser du inställningar för lösenordspolicy och en kort beskrivning av var och en. Många av dem liknar inställningarna i modulen cracklib. Denna metod underlättar portering av dina policyer från det gamla systemet.

• difok – Antal tecken i ditt nya lösenord som INTE får finnas i ditt gamla lösenord. (Standard 5)
• minlen – Minimi längd på lösenordet. (Standard 9)
• ucredit – Maximalt antal krediter för användning av versaler (om parametern > 0), eller minimi antal krav på versaler (om parametern < 0). Standard 1.
• lcredit — Det maximala antalet krediter för användning av gemener (om parametern > 0), eller det minimi krav på antal gemener (om parametern < 0). Som standard 1.
• dcredit — Det maximala antalet krediter för användning av siffror (om parametern > 0), eller det minimi krav på antal siffror (om parametern < 0). Som standard 1.
• ocredit — Det maximala antalet krediter för användning av andra tecken (om parametern > 0), eller det minimi krav på antal andra tecken (om parametern < 0). Som standard 1.
• minclass – Anger det erforderliga antalet klasser. Klasser inkluderar de ovan angivna parametrarna (versaler, gemener, siffror och andra tecken). Som standard 0.
• maxrepeat – Det maximala antalet upprepningar av ett tecken i lösenordet. Som standard 0.
• maxclassrepeat — Det maximala antalet på varandra följande tecken i en klass. Som standard 0.
• gecoscheck – Kontrollerar om lösenordet innehåller några ord från användarens GECOS-rader. (Användarinformation, t.ex. verkligt namn, plats osv.). Som standard 0 (avstängd).
• dictpath – Sökväg till cracklib-ordlistor.
• badwords – Mellanslag-separerade ord som är förbjudna i lösenord (företagsnamn, ordet 'lösenord' osv.).

Om begreppet krediter låter konstigt, var inte orolig, det är helt normalt. Vi kommer att diskutera detta mer i detalj i följande avsnitt.

Konfiguration av lösenordspolicy

Innan du börjar redigera konfigurationsfiler är det en bra praxis att först skriva ner den grundläggande lösenordspolicyn. Till exempel, vi kommer att använda följande komplexitetsregler:

• Lösenordet måste ha en minimi längd av 15 tecken.
• I lösenordet får inte samma tecken upprepas mer än två gånger.
• I lösenordet får teckenklasser upprepas upp till fyra gånger.
• Lösenordet måste innehålla tecken från varje klass.
• Det nya lösenordet måste ha 5 nya tecken jämfört med det gamla.
• Aktivera GECOS-kontroll.
• Förbjuda orden 'password, pass, word, putorius'

Nu när vi har lagt fram policyn kan vi redigera filen /etc/security/pwquality.conf, för att stärka kraven på lösenordskomplexitet. Här är ett exempel på en fil med kommentarer för bättre förståelse.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Som du kanske har märkt, är vissa parametrar i vår fil överflödiga. Till exempel parametern minclass är överflödig eftersom vi redan använder minst två tecken från klassen med fält [u,l,d,o]credit. Vår lista över ord som inte får användas är också överflödig eftersom vi har förbjudit att upprepa någon klass 4 gånger (alla ord i vår lista är skrivna med små bokstäver). Jag inkluderade dessa parametrar endast för att visa hur de kan användas för att konfigurera lösenordspolicyn.
När du har skapat din policy kan du tvinga användare att byta sina lösenord vid nästa inloggning till systemet.

En annan märklig sak som du kanske har märkt är att fälten [u,l,d,o]credit innehåller ett negativt tal. Detta beror på att tal som är större eller lika med 0 ger kredit för användningen av ett tecken i ditt lösenord. Om fältet innehåller ett negativt tal innebär det att det krävs ett visst antal.

Vad är krediter (credit)?

Jag kallar dem krediter eftersom det exakt beskriver deras syfte. Om värdet på parametern är större än 0 lägger du till antalet "teckenkrediter" som är lika med "x" till lösenordets längd. Till exempel, om alla parametrar (u,l,d,o)credit ställs in på 1, och den nödvändiga längden på lösenordet var 6, så skulle du behöva 6 tecken för att uppfylla längdkravet, eftersom varje versal, gemen, siffra eller annat tecken ger dig en kredit.

Om du ställer in dcredit på 2, kan du teoretiskt använda ett lösenord som är 9 tecken långt och få 2 krediter för siffror och då kan längden på lösenordet redan vara 10.

Titta på detta exempel. Jag ställde in lösenordslängden på 13, ställde dcredit på 2, och allt annat på 0.

$ pwscore
 Thisistwelve
 Lösenordskvalitetskontroll misslyckades:
  Lösenordet är kortare än 13 tecken

$ pwscore
 Th1sistwelve
 18

Min första kontroll misslyckades eftersom lösenordets längd var kortare än 13 tecken. Nästa gång ändrade jag bokstaven “I” till siffran “1” och fick två krediter för siffror, vilket gjorde att lösenordet motsvarade 13.

Lösenordstestning

Paket libpwquality erbjuder funktionalitet som beskrivs i artikeln. Det levereras också med programmet pwscore, som är avsett för att kontrollera ett lösenords komplexitet. Vi använde det ovan för att kontrollera krediter.
Verktyg pwscore läser från stdin. Kör helt enkelt verktyget och skriv ditt lösenord, så ger det ett felmeddelande eller ett värde mellan 0 och 100.

Kvalitetspoängen för lösenordet relaterar till parametern minlen i konfigurationsfilen. Generellt betraktas ett värde under 50 som "ett normalt lösenord", och över 50 som "ett starkt lösenord". Ett lösenord som klarar kvalitetskontroller (särskilt den tvångsmässiga kontrollen cracklib) måste motstå ordlistattacker, och ett lösenord med ett värde över 50 med inställningen minlen standard även brute force attacker.

Slutsats

Inställning pwquality – det är enkelt och lätt jämfört med besväret av att använda cracklib direkt redigering av filer pam. I denna guide har vi behandlat allt du behöver veta för att konfigurera lösenordspolicies i Red Hat 7, CentOS 7 och till och med Ubuntu-system. Vi har också diskuterat konceptet med krediter, som sällan skrivs om i detalj, vilket gör att ämnet ofta förblir oklart för dem som inte tidigare varit i kontakt med det.

Källor:

pwquality man page
pam_pwquality man page
pwscore man page

Nyttiga länkar:

Välja säkra lösenord – Bruce Schneier
Lorrie Faith Cranor diskuterar sina lösenordsstudier vid CMU
Den berömda xkcd-teckningen om Entropy

Källa: habr.com