Skapande av lösenordspolicyer i Linux

Hej igen! Redan imorgon börjar lektionerna i den nya gruppen av kursen «Linuxadministratör», därför publicerar vi en användbar artikel i ämnet.

I den föregående handledningen berättade vi hur man använder pam_cracklib, för att komplicera lösenord i systemen Red Hat 6 eller CentOS. I Red Hat 7 pam_pwquality har ersatt cracklib som pam som standardmodul för lösenordsvalidering. Modulen pam_pwquality stöds även i Ubuntu och CentOS, samt i många andra operativsystem. Denna modul förenklar skapandet av lösenordspolicyer för att säkerställa att användare accepterar dina säkerhetsstandarder för lösenordskomplexitet.

Under en lång tid har den vanliga metoden för lösenord varit att tvinga användare att använda både stora och små bokstäver, siffror eller andra tecken. Dessa grundläggande regler för lösenordskomplexitet har aktivt propagandats de senaste tio åren. Det har varit mycket diskussioner om detta är en bra praxis eller inte. Huvudargumentet mot att införa sådana komplicerade krav var att användare skriver ner sina lösenord på papper och lagrar dem osäkert.

En annan policy som nyligen har ifrågasatts tvingar användare att ändra sina lösenord var x:e dag. Det har genomförts viss forskning som har visat att detta också skadar säkerheten.

Det har skrivits många artiklar om dessa diskussioner som har motiverat den ena eller den andra åsikten. Men det är inte vad vi kommer att diskutera i denna artikel. Denna artikel kommer att handla om hur man korrekt ställer in lösenordskomplexitet, inte om hur man hanterar säkerhetspolicyer.

Inställningar för lösenordspolicyn

Nedan ser du inställningarna för lösenordspolicyn och en kort beskrivning av var och en av dem. Många av dem liknar inställningarna i modulen cracklib. Denna metod förenklar porteringen av dina policys från det gamla systemet.

• difok – Antalet tecken i ditt nya lösenord som INTE får finnas i ditt gamla lösenord. (Standard 5)
• minlen – Minimalt lösenords längd. (Standard 9)
• ucredit – Maximalt antal poäng för användning av stora bokstäver (om parametern > 0), eller minimiantalet stora bokstäver som krävs (om parametern < 0). Standard 1.
• lcredit — Det högsta antalet krediter för användning av små bokstäver (om parametern > 0), eller det minimi krav på små bokstäver (om parametern < 0). Som standard är det 1.
• dcredit — Det högsta antalet krediter för användning av siffror (om parametern > 0), eller det minimi krav på siffror (om parametern < 0). Som standard är det 1.
• ocredit — Det högsta antalet krediter för användning av andra tecken (om parametern > 0), eller det minimi krav på andra tecken (om parametern < 0). Som standard är det 1.
• minclass – Anger det erforderliga antalet klasser. Klasserna inkluderar ovanstående parametrar (stora bokstäver, små bokstäver, siffror, andra tecken). Som standard är det 0.
• maxrepeat – Det högsta antalet upprepningar av ett tecken i lösenordet. Som standard är det 0.
• maxclassrepeat — Det högsta antalet på varandra följande tecken i en klass. Som standard är det 0.
• gecoscheck – Kontrollerar om lösenordet innehåller några ord från användarens GECOS-strängar. (Användarinformation, dvs. riktiga namnet, plats osv.) Som standard är det 0 (avstängt).
• dictpath – Sökväg till cracklib-ordlistor.
• badwords – Mellanrum-separerade ord som är förbjudna i lösenord (företagsnamn, ordet 'lösenord' osv.).

Om begreppet krediter låter konstigt, är det helt okej. Vi kommer att prata mer om detta i kommande avsnitt.

Konfiguration av lösenordspolicy

Innan du börjar redigera konfigurationsfiler är det en bra praxis att skriftligt registrera den grundläggande lösenordspolicyn. Till exempel, vi kommer att använda följande komplexitetsregler:

• Lösenordet måste ha en minimi längd på 15 tecken.
• I lösenordet får samma tecken inte upprepas mer än två gånger.
• Teckenkategorierna i lösenordet kan upprepas upp till fyra gånger.
• Lösenordet måste innehålla tecken från varje kategori.
• Det nya lösenordet måste ha 5 nya tecken jämfört med det gamla.
• Aktivera GECOS-kontroll.
• Förbjuda orden 'password, pass, word, putorius'

Nu, när vi har redogjort för policyn, kan vi redigera filen /etc/security/pwquality.conf, för att stärka kraven på lösenordskomplexitet. Nedan är ett exempel på filen med kommentarer för bättre förståelse.

# Make sure 5 characters in new password are new compared to old password
difok = 5
# Set the minimum length acceptable for new passwords
minlen = 15
# Require at least 2 digits
dcredit = -2
# Require at least 2 upper case letters
ucredit = -2
# Require at least 2 lower case letters
lcredit = -2
# Require at least 2 special characters (non-alphanumeric)
ocredit = -2
# Require a character from every class (upper, lower, digit, other)
minclass = 4
# Only allow each character to be repeated twice, avoid things like LLL
maxrepeat = 2
# Only allow a class to be repeated 4 times
maxclassrepeat = 4
# Check user information (Real name, etc) to ensure it is not used in password
gecoscheck = 1
# Leave default dictionary path
dictpath =
# Forbid the following words in passwords
badwords = password pass word putorius

Som du kanske har märkt, är vissa parametrar i vår fil överflödiga. Till exempel, parameter minclass är överflödig eftersom vi redan använder minst två tecken från klassen med hjälp av fälten [u,l,d,o]credit. Vår lista över ord som inte kan användas är också överflödig eftersom vi har förbjudit att upprepa någon klass 4 gånger (alla ord på vår lista skrivs med små bokstäver). Jag har inkluderat dessa parametrar bara för att demonstrera hur man använder dem för att anpassa lösenordspolicyn.
Så snart du har skapat din policy kan du tvinga användare att byta sina lösenord vid nästa inloggning i systemet.

En annan konstig sak som du kanske har noterat är att fälten [u,l,d,o]credit innehåller ett negativt tal. Detta beror på att nummer som är större eller lika med 0 ger kredit för att använda en symbol i ditt lösenord. Om fältet innehåller ett negativt tal betyder det att ett visst antal krävs.

Vad är krediter (credit)?

Jag kallar dem krediter eftersom det bäst beskriver deras syfte. Om parameter värdet är större än 0 lägger du till antalet "symbolkrediter" lika med "x" till lösenordets längd. Till exempel, om alla parametrar (u,l,d,o)credit är inställda på 1 och den erforderliga lösenordslängden var 6, behöver du 6 tecken för att uppfylla längdkravet eftersom varje stort tecken, litet tecken, siffra eller annan symbol ger dig en kredit.

Om du ställer in dcredit till 2 kan du teoretiskt använda ett lösenord med en längd av 9 tecken och få 2 symbolkrediter för siffror, vilket gör att lösenordets längd kan vara 10.

Titta på det här exemplet. Jag ställde in lösenordslängden till 13, ställde dcredit till 2, och allt annat till 0.

$ pwscore
 Thisistwelve
 Lösenords kvalitetstest misslyckades:
  Lösenordet är kortare än 13 tecken

$ pwscore
 Th1sistwelve
 18

Min första kontroll misslyckades eftersom lösenordets längd var mindre än 13 tecken. Nästa gång ändrade jag bokstaven "I" till siffran "1" och fick två krediter för siffror, vilket gjorde att lösenordet blev 13.

Lösenordstestning

Paket libpwquality fungerar enligt beskrivningen i artikeln. Det levereras också med programmet pwscore, som är avsedd för att kontrollera lösenordets komplexitet. Vi använde det ovan, för att kontrollera krediter.
Verktyg pwscore läser från stdin. Bara kör verktyget och skriv ditt lösenord, det ger ett felmeddelande eller ett värde från 0 till 100.

Kvalitetsindikatorn för lösenord relaterar till parametern minlen i konfigurationsfilen. Generellt betraktas ett poäng under 50 som "ett normalt lösenord", medan ett poäng över 50 ses som "ett starkt lösenord". Varje lösenord som klarar kvalitetskontroller (särskilt obligatorisk kontroll cracklib) bör stå emot ordlistattacker, och ett lösenord med poäng över 50 med standardinställningen minlen till och med bruteforce attacker.

Slutsats

Inställning pwquality är enkelt och smidigt jämfört med besvären med att använda cracklib genom att redigera filer direkt. pamI denna guide har vi gått igenom allt du behöver veta för att ställa in lösenordspolicyer i Red Hat 7, CentOS 7 och även Ubuntu-system. Vi har också diskuterat begreppet krediter, som sällan skrivs om i detalj, så detta ämne har ofta förblivit oklart för dem som inte har stött på det tidigare.

Källor:

pwquality-manualsidan
pam_pwquality-manualsidan
pwscore-manualsidan

Nyttiga länkar:

Val av säkra lösenord – Bruce Schneier
Lorrie Faith Cranor diskuterar sina lösenordsstudier vid CMU
Den berömda xkcd-teckningen om Entropi

Källa: habr.com