W przypadku logowania się do naszego systemu wielu użytkowników, jesteśmy zobligowani niejako do wymuszenia pewnej polityki odnośnie haseł do systemu jak np.:
zmiana co 30 dni, znaki specjalne, długość hasła etc., najprostszym sposobem aby tego dokonać jest skorzystanie z modułu pam_cracklib.so który znajdziemy w /lib/security/, konfigurację natomiast będziemy wpisywac do pliku /etc/pam.d/system-auth
I tak dla ustawienia:
1) poziomu skomplikowania hasła
wpisujemy do system-auth:
password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 dcredit=-2 ucredit=-1 lcredit=-1 ocredit=-1
co oznacza, że w przypadku wpisania błędnego hasła podczas logowania dostaniemy szansę na wpisanie poprawnego kolejne trzy razy – retry=3,
nowe hasło ma mieć minimum długość ośmiu znaków – minlen=8, mają się w nim znaleźć co najmniej dwie cyfry – dcredit=-2,
co najmniej jedna duża litera – ucredit=-1,
co najmniej jedna mała litera – lcredit=-1,
co najmniej jeden znak specjalny – ocredit=-1
2) dla ustawienia czasu ważności hasła
modyfikujemy wpisy w pliku /etc/shadow za pomocą programu chage:
chage -l [username] #sprawdzenie bieżących ustawień uzytkownika
chage -E “YYYY-MM-DD” [username] #ustawienie daty wygaśnięcia konta, wartość -1 równoznaczne z nigdy
chage -d “YYYY-MM-DD” [username] #ustawienie ostatniej zmiany hasła, dla wartości -1 patrz wyżej
chage -M [nr] [username] #ustawienie liczby dni [nr] od ostatniej zmiany hasła przez którą hasło będzie ważne
chage -W [nr] [username] #ustawienie liczby dni [nr] przez którą będzie wyświetlane ostrzeżenie o zmianie hasła i tak:
dla użytkowników którzy są w systemie ustawiamy:
chage -M 10 stefan
chage -d “2010-05-06″ stefan
chage -W 3 stefan
oznacza to że userowi stefan wygaśnie hasło 2010-05-16, dle monity o koniecznej zmianj\nie będzie dostawał podczas logowania już od 2010-05-03
dla użytkowników którzy dopiero co zostaną utworzeni defaultowe ustawienia wpisujemy w pliku /etc/login.defs
3) dla ustawienia powtarzalności hasła wpisuemy w /etc/pam.d/system-auth:
password sufficient pam_unix.so sha512 shadow nullok try_first_pass use_authtok remember=2
gdzie parametr remember=2 oznacza, że system będzie pamiętał do dwóch haseł wstecz, których nie będziemy mogli użyć, informacja o starych hasłach zostaje wpisana do pliku /etc/security/opasswd
Ostatnie komentarze