Поддержание надежных политик паролей имеет решающее значение для защиты систем Linux. Этот учебник проведет вас через понимание основ политик паролей Linux, настройку требований к сложности паролей и применение этих политик для повышения общей безопасности вашей среды Linux.
Системы Linux используют несколько файлов конфигурации для управления политиками паролей. На этом шаге мы рассмотрим эти файлы и поймем их назначение в управлении паролями.
Давайте начнем с изучения ключевых файлов конфигурации, которые управляют политиками паролей в Ubuntu:
Сначала откройте терминал, щелкнув значок терминала в среде рабочего стола.
Давайте посмотрим на файл /etc/login.defs, который содержит основные настройки политики паролей:
cat /etc/login.defs | grep "^PASS_"Вы должны увидеть вывод, похожий на этот:
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7Эти настройки управляют:
PASS_MAX_DAYS: Максимальное количество дней, в течение которых пароль остается действительнымPASS_MIN_DAYS: Минимальное количество дней, требуемое между сменами паролейPASS_WARN_AGE: Количество дней предупреждения до истечения срока действия пароляЕще одним важным файлом является /etc/pam.d/common-password, который управляет настройками PAM (Pluggable Authentication Modules) для аутентификации паролей:
cat /etc/pam.d/common-passwordЭтот файл содержит несколько строк, настраивающих управление паролями, включая требования к сложности.
Система использует библиотеку pwquality для обеспечения качества паролей. Давайте проверим, установлена ли она:
dpkg -l | grep libpwqualityЕсли она не установлена, мы можем установить ее:
sudo apt update
sudo apt install -y libpam-pwqualityТеперь давайте рассмотрим файл конфигурации качества паролей:
cat /etc/security/pwquality.confЭтот файл может содержать большинство строк, закомментированных с помощью #, что означает использование значений по умолчанию.
Вот ключевые параметры, которые вы можете настроить:
minlen: Минимальная длина пароляdcredit: Кредит за цифры в паролеucredit: Кредит за прописные буквыlcredit: Кредит за строчные буквыocredit: Кредит за специальные символыretry: Количество попыток ввода нового пароляenforce_for_root: Применять ли эти политики для пользователя rootНа этом шаге мы настроим базовые политики паролей, изменив файл /etc/login.defs, чтобы установить требования к сроку действия паролей.
Сначала создадим резервную копию исходного файла:
sudo cp /etc/login.defs /etc/login.defs.backupТеперь откройте файл для редактирования с помощью nano:
sudo nano /etc/login.defsВ редакторе найдите эти параметры (используйте Ctrl+W для поиска):
PASS_MAX_DAYS
PASS_MIN_DAYS
PASS_WARN_AGEИзмените эти значения, чтобы реализовать более безопасную политику срока действия пароля:
PASS_MAX_DAYS с 99999 на 90 (пароли истекают через 90 дней)PASS_MIN_DAYS с 0 на 7 (минимум 7 дней между сменами паролей)PASS_WARN_AGE с 7 на 14 (предупреждать пользователей за 14 дней до истечения срока действия пароля)Сохраните файл, нажав Ctrl+O, затем Enter, и выйдите с помощью Ctrl+X.
Проверьте свои изменения:
cat /etc/login.defs | grep "^PASS_"Вы должны увидеть:
PASS_MAX_DAYS 90
PASS_MIN_DAYS 7
PASS_WARN_AGE 14Давайте создадим тестового пользователя, чтобы увидеть, как применяются эти политики:
Создайте нового пользователя:
sudo useradd -m testuserУстановите пароль для нового пользователя:
sudo passwd testuserВведите простой пароль при появлении запроса (мы усилим его на следующих шагах).
Проверьте информацию о сроке действия пароля для нового пользователя:
sudo chage -l testuserВы должны увидеть, что политики паролей были применены к этому новому пользователю, отображая дату истечения срока действия на основе ваших настроек.
Обратите внимание, что эти изменения применяются только к новым учетным записям или при смене пароля. Существующие учетные записи сохраняют свои предыдущие настройки, пока вы не обновите их вручную.
На этом шаге мы настроим правила сложности паролей, чтобы обеспечить использование надежных паролей в нашей системе.
Сначала создадим резервную копию файла конфигурации PAM:
sudo cp /etc/pam.d/common-password /etc/pam.d/common-password.backupТеперь откройте файл для редактирования:
sudo nano /etc/pam.d/common-passwordНайдите строку, содержащую pam_pwquality.so. Она может выглядеть примерно так:
password requisite pam_pwquality.so retry=3Измените эту строку, чтобы добавить требования к сложности. Замените ее на:
password requisite pam_pwquality.so retry=3 minlen=12 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1 enforce_for_rootЭта конфигурация означает:
minlen=12: Минимальная длина пароля — 12 символовdcredit=-1: Требуется как минимум 1 цифраucredit=-1: Требуется как минимум 1 заглавная букваlcredit=-1: Требуется как минимум 1 строчная букваocredit=-1: Требуется как минимум 1 специальный символenforce_for_root: Применить эти политики и к пользователю rootСохраните файл, нажав Ctrl+O, затем Enter, и выйдите с помощью Ctrl+X.
Теперь давайте изменим файл конфигурации pwquality для дополнительных элементов управления:
sudo cp /etc/security/pwquality.conf /etc/security/pwquality.conf.backup
sudo nano /etc/security/pwquality.confРаскомментируйте (удалите # в начале) и измените эти строки или добавьте их, если они не существуют:
minlen = 12
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1
difok = 4
enforce_for_root = 1Параметр difok = 4 требует, чтобы как минимум 4 символа отличались от предыдущего пароля.
Сохраните файл, нажав Ctrl+O, затем Enter, и выйдите с помощью Ctrl+X.
Давайте протестируем нашу новую политику, изменив пароль для нашего тестового пользователя:
sudo passwd testuserПопробуйте ввести простой пароль, например password123. Система должна отклонить его из-за несоответствия требованиям к сложности.
Теперь попробуйте сложный пароль, соответствующий всем требованиям, например Secure@Password123.
Если вы все настроили правильно, система должна принять этот пароль.
Требования к сложности гарантируют, что пользователи создают надежные пароли, что затрудняет для злоумышленников их угадывание или взлом.
На этом шаге мы настроим контроль истории паролей, чтобы пользователи не могли повторно использовать свои недавние пароли.
Сначала создадим резервную копию файла конфигурации PAM, если вы этого еще не сделали:
sudo cp /etc/pam.d/common-password /etc/pam.d/common-password.backup2Откройте файл для редактирования:
sudo nano /etc/pam.d/common-passwordНайдите строку, содержащую pam_unix.so. Она может выглядеть примерно так:
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512Измените эту строку, чтобы добавить параметр remember. Добавьте remember=5 в конце строки:
password [success=1 default=ignore] pam_unix.so obscure use_authtok try_first_pass sha512 remember=5Это не позволит пользователям повторно использовать любые из своих 5 последних паролей.
Сохраните файл, нажав Ctrl+O, затем Enter, и выйдите с помощью Ctrl+X.
Параметр remember=5 предписывает системе хранить хэши последних 5 паролей для каждого пользователя. Когда пользователь пытается изменить свой пароль, система сравнивает новый пароль с этими сохраненными хэшами, чтобы убедиться, что он не используется повторно.
История паролей хранится в файле /etc/security/opasswd. Давайте проверим, существует ли этот файл:
ls -la /etc/security/opasswdЕсли его нет, он будет создан автоматически, когда первый пользователь изменит свой пароль с новой политикой.
Давайте попробуем несколько раз изменить пароль тестового пользователя, чтобы увидеть механизм истории в действии:
sudo passwd testuserУстановите сложный пароль, например Complex@Password1.
Теперь попробуйте изменить его снова немедленно:
sudo passwd testuserПопробуйте снова установить тот же пароль. Система должна отклонить его из-за политики истории.
Попробуйте это еще несколько раз с разными паролями, а затем попробуйте повторно использовать более ранний пароль. Вы должны обнаружить, что не можете повторно использовать ни один из своих 5 последних паролей.
Этот механизм истории паролей добавляет еще один уровень безопасности, предотвращая повторное использование паролей, что является распространенной уязвимостью безопасности.
На этом заключительном шаге мы узнаем, как применить наши новые политики паролей к существующим пользователям и управлять информацией о паролях пользователей.
Когда вы изменяете политики паролей в /etc/login.defs, новые настройки применяются только к вновь созданным пользователям или при ручном обновлении существующих пользователей. Давайте посмотрим, как управлять существующими пользователями:
Сначала проверьте текущий статус учетной записи пользователя:
sudo chage -l labexЭто отображает информацию о сроке действия пароля для текущего пользователя.
Чтобы заставить пользователя изменить свой пароль при следующем входе в систему:
sudo chage -d 0 testuserЭто устанавливает дату последнего изменения пароля на 0, принуждая к смене пароля при следующем входе в систему.
Чтобы вручную установить дату истечения срока действия пароля:
sudo chage -E $(date -d "90 days" +%Y-%m-%d) testuserЭто устанавливает дату истечения срока действия учетной записи на 90 дней с сегодняшнего дня.
Чтобы применить политику максимального срока действия пароля к существующему пользователю:
sudo chage -M 90 testuserЭто устанавливает максимальный срок действия пароля на 90 дней для пользователя.
Чтобы применить политику минимального срока действия пароля к существующему пользователю:
sudo chage -m 7 testuserЭто устанавливает минимальный срок действия пароля на 7 дней для пользователя.
Чтобы применить политику предупреждения об истечении срока действия пароля к существующему пользователю:
sudo chage -W 14 testuserЭто устанавливает период предупреждения об истечении срока действия пароля на 14 дней для пользователя.
Вы можете проверить информацию о пароле пользователя, используя несколько команд:
Просмотр всех локальных учетных записей пользователей:
cat /etc/passwdПроверка статуса пароля для конкретного пользователя:
sudo passwd -S testuserСписок пользователей с определенной настройкой пароля:
awk -F: '($3 >= 1000) {print $1}' /etc/passwdЭто выводит список всех обычных пользователей в системе (UID >= 1000).
Чтобы применить новые политики паролей ко всем обычным пользователям в системе, вы можете использовать простой скрипт. Вот пример:
for user in $(awk -F: '($3 >= 1000) && ($3 < 60000) {print $1}' /etc/passwd); do
echo "Updating password policy for user: $user"
sudo chage -M 90 -m 7 -W 14 $user
doneЭтот скрипт обновляет всех обычных пользователей с нашими новыми политиками срока действия паролей.
Применяя эти политики к существующим пользователям, вы обеспечиваете согласованную безопасность паролей во всей вашей системе.
В этой лабораторной работе вы узнали, как настраивать и применять надежные политики паролей в Linux. Вы:
Эти конфигурации политик паролей необходимы для поддержания безопасной среды Linux. Внедряя строгие требования к паролям, регулярную ротацию паролей и предотвращая повторное использование паролей, вы значительно улучшили состояние безопасности вашей системы от несанкционированного доступа и потенциальных нарушений.
Помните, что эффективные политики паролей — это лишь один аспект комплексной стратегии безопасности. Они должны сочетаться с другими мерами безопасности, такими как регулярные обновления системы, надлежащее управление пользователями и постоянный мониторинг безопасности.
