लिनक्स पर एक पासवर्ड नीति बनाना

फिर से नमस्कार! लिनक्स प्रशासक पाठ्यक्रम के नए समूह में कल कक्षाएं शुरू होंगी, और इस संबंध में हम विषय पर एक उपयोगी लेख प्रकाशित कर रहे हैं।



पिछले ट्यूटोरियल में, हमने Red Hat 6 या CentOS सिस्टम पर पासवर्ड को जटिल करने के लिए pam_cracklib का उपयोग करने के तरीके के बारे में बात की। Red Hat 7 में, pam_pwquality ने पासवर्ड सत्यापन के लिए pam मॉड्यूल के रूप में cracklib को बदल दिया। pam_pwquality मॉड्यूल उबंटू और CentOS के साथ-साथ कई अन्य ऑपरेटिंग सिस्टम पर भी समर्थित है। यह मॉड्यूल यह सुनिश्चित करने के लिए पासवर्ड नीतियां बनाना आसान बनाता है कि उपयोगकर्ता आपके पासवर्ड की जटिलता मानकों को स्वीकार करें।

लंबे समय तक, पासवर्ड का सामान्य दृष्टिकोण उपयोगकर्ता को ऊपरी और निचले मामले के पात्रों, संख्याओं या उनमें मौजूद अन्य वर्णों का उपयोग करने के लिए मजबूर करना था। इन बुनियादी पासवर्ड जटिलता नियमों को पिछले दस वर्षों में सक्रिय रूप से बढ़ावा दिया गया है। इस बारे में बहुत चर्चा हुई है कि यह अच्छा अभ्यास है या नहीं। ऐसी कठिन परिस्थितियों को स्थापित करने के खिलाफ मुख्य तर्क यह था कि उपयोगकर्ता कागज पर पासवर्ड लिखते हैं और इसे असुरक्षित रूप से संग्रहीत करते हैं।

एक और नीति जिसे हाल ही में प्रश्न-काल में बुलाया गया है, प्रत्येक X दिनों में उपयोगकर्ताओं को अपना पासवर्ड बदलने के लिए बाध्य करती है। कई अध्ययन किए गए हैं जिनसे पता चला है कि यह सुरक्षा के लिए भी हानिकारक है।

इन चर्चाओं के विषय पर बहुत सारे लेख लिखे गए हैं जो इस या उस दृष्टिकोण को सही ठहराते हैं। लेकिन यह वह नहीं है जो हम इस लेख में चर्चा करेंगे। यह आलेख आपको बताएगा कि पासवर्ड जटिलता को सही तरीके से कैसे सेट करें, और सुरक्षा नीति का प्रबंधन न करें।

पासवर्ड नीति सेटिंग्स

नीचे आपको पासवर्ड पॉलिसी सेटिंग्स और उनमें से प्रत्येक का एक संक्षिप्त विवरण दिखाई देगा। उनमें से कई cracklib मॉड्यूल में मापदंडों के समान हैं। यह दृष्टिकोण आपकी नीतियों को पुरानी प्रणाली से पोर्ट करना आसान बनाता है।

• difok - आपके नए पासवर्ड में वर्णों की संख्या जो आपके पुराने पासवर्ड में मौजूद नहीं होनी चाहिए। (डिफ़ॉल्ट 5 है)
• minlen - न्यूनतम पासवर्ड की लंबाई। (डिफ़ॉल्ट 9 है)
• ucredit - अपरकेस वर्ण (यदि पैरामीटर> 0), या अपरकेस वर्णों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर <0) का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या। डिफ़ॉल्ट 1 है।
• lcredit - लोअरकेस वर्णों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर> 0), या लोअरकेस वर्णों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर <0)। डिफ़ॉल्ट 1 है।
• dcredit - अंकों का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या (यदि पैरामीटर> 0), या अंकों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर <0)। डिफ़ॉल्ट 1 है।
• ऑक्रेडिट - अन्य प्रतीकों (यदि पैरामीटर> 0), या अन्य प्रतीकों की न्यूनतम आवश्यक संख्या (यदि पैरामीटर <0) का उपयोग करने के लिए क्रेडिट की अधिकतम संख्या। डिफ़ॉल्ट 1 है।
• मिनक्लास - आवश्यक वर्गों की संख्या निर्धारित करता है। वर्गों में उपरोक्त पैरामीटर (ऊपरी मामला, निचला मामला, संख्या, अन्य वर्ण) शामिल हैं। डिफ़ॉल्ट 0 है।
• maxrepeat - एक पासवर्ड में एक चरित्र को बार-बार दोहराया जाता है। डिफ़ॉल्ट 0 है।
• maxclassrepeat - एकल वर्ग में अधिकतम वर्णों की अधिकतम संख्या। डिफ़ॉल्ट 0 है।
• gecoscheck - जाँचता है कि क्या पासवर्ड में उपयोगकर्ता के GECOS लाइनों से कोई शब्द हैं। (उपयोगकर्ता जानकारी, यानी वास्तविक नाम, स्थान आदि) डिफ़ॉल्ट 0 (बंद)।
• तानाशाह - शब्दकोश को क्रैकलिब करने दें।
• बैड पासवर्ड - स्पेस- इंस्पायर्ड शब्द जो पासवर्ड (कंपनी का नाम, शब्द "पासवर्ड" आदि) में निषिद्ध हैं।

यदि ऋण की अवधारणा अजीब लगती है, तो ठीक है, यह ठीक है। हम इस बारे में और अधिक विस्तार से निम्नलिखित अनुभागों में बात करेंगे।

पासवर्ड नीति कॉन्फ़िगरेशन

इससे पहले कि आप कॉन्फ़िगरेशन फ़ाइलों को संपादित करना शुरू करें, मूल पासवर्ड नीति को पूर्व-लिखना अच्छा है। उदाहरण के लिए, हम निम्नलिखित जटिलता नियमों का उपयोग करेंगे:

• पासवर्ड में न्यूनतम 15 वर्ण होने चाहिए।
• पासवर्ड में, एक ही चरित्र को दो से अधिक बार दोहराया नहीं जाना चाहिए।
• एक पासवर्ड में, वर्ण वर्गों को चार बार तक दोहराया जा सकता है।
• पासवर्ड में प्रत्येक वर्ग के वर्ण होने चाहिए।
• पुराने पासवर्ड की तुलना में नए पासवर्ड में 5 नए अक्षर होने चाहिए।
• GECOS सत्यापन सक्षम करें।
• शब्दों से इंकार करें "पासवर्ड, पास, शब्द, प्यूटरियस"

अब, जैसे ही हम नीति निर्धारित करते हैं, हम पासवर्ड जटिलता आवश्यकताओं को मजबूत करने के लिए /etc/security/pwquality.conf फ़ाइल संपादित कर सकते हैं। नीचे बेहतर समझ के लिए एक उदाहरण कमेंटरी फ़ाइल है।

 # Make sure 5 characters in new password are new compared to old password difok = 5 # Set the minimum length acceptable for new passwords minlen = 15 # Require at least 2 digits dcredit = -2 # Require at least 2 upper case letters ucredit = -2 # Require at least 2 lower case letters lcredit = -2 # Require at least 2 special characters (non-alphanumeric) ocredit = -2 # Require a character from every class (upper, lower, digit, other) minclass = 4 # Only allow each character to be repeated twice, avoid things like LLL maxrepeat = 2 # Only allow a class to be repeated 4 times maxclassrepeat = 4 # Check user information (Real name, etc) to ensure it is not used in password gecoscheck = 1 # Leave default dictionary path dictpath = # Forbid the following words in passwords badwords = password pass word putorius 

जैसा कि आपने देखा होगा, हमारी फ़ाइल के कुछ पैरामीटर निरर्थक हैं। उदाहरण के लिए, minclass पैरामीटर निरर्थक है, क्योंकि हम पहले से ही [u,l,d,o]credit क्षेत्रों का उपयोग करके कक्षा से कम से कम दो वर्णों का उपयोग करते हैं। जिन शब्दों का उपयोग नहीं किया जा सकता है, उनकी हमारी सूची भी निरर्थक है, क्योंकि हमने किसी भी वर्ग को 4 बार दोहराने से मना किया है (हमारी सूची के सभी शब्द निचले मामले में लिखे गए हैं)। मैंने इन विकल्पों को केवल यह दिखाने के लिए शामिल किया है कि पासवर्ड नीति को कॉन्फ़िगर करने के लिए उनका उपयोग कैसे करें।
एक बार जब आप अपनी नीति बना लेते हैं, तो आप अगली बार लॉग इन करने पर उपयोगकर्ताओं को अपने पासवर्ड बदलने के लिए बाध्य कर सकते हैं।

एक और विचित्र बात जो आपने देखी होगी कि [u,l,d,o]credit फ़ील्ड में एक ऋणात्मक संख्या होती है। ऐसा इसलिए है क्योंकि 0 से अधिक या बराबर संख्या आपके पासवर्ड में वर्ण का उपयोग करने का श्रेय देगी। यदि फ़ील्ड में एक ऋणात्मक संख्या है, तो इसका मतलब है कि एक निश्चित राशि की आवश्यकता है।

ऋण क्या हैं?

मैं उन्हें ऋण कहता हूं, क्योंकि यह उनके उद्देश्य को सटीक रूप से बताता है। यदि पैरामीटर मान 0 से अधिक है, तो आप पासवर्ड की लंबाई के लिए "x" के बराबर "वर्ण प्रति क्रेडिट" की संख्या जोड़ते हैं। उदाहरण के लिए, यदि सभी पैरामीटर (u,l,d,o)credit 1 पर सेट (u,l,d,o)credit , और आवश्यक पासवर्ड की लंबाई 6 है, तो आपको लंबाई की आवश्यकता को पूरा करने के लिए 6 वर्णों की आवश्यकता होगी, क्योंकि प्रत्येक चरित्र ऊपरी मामला, निचला मामला, अंक या अन्य चरित्र है। आपको एक ऋण देगा।

यदि आप dcredit को 2 में सेट dcredit , तो आप सैद्धांतिक रूप से 9 वर्णों की लंबाई के साथ एक पासवर्ड का उपयोग कर सकते हैं और संख्याओं के लिए वर्णों के लिए 2 क्रेडिट प्राप्त कर सकते हैं और फिर पासवर्ड पहले से ही 10 हो सकते हैं।

इस उदाहरण पर एक नज़र डालें। मैंने पासवर्ड की लंबाई 13 पर सेट की है, dcredit को 2 पर सेट किया है, और बाकी सब 0 पर।

 $ pwscore Thisistwelve Password quality check failed: The password is shorter than 13 characters $ pwscore Th1sistwelve 18 

मेरा पहला चेक विफल हो गया क्योंकि पासवर्ड 13 वर्णों से कम लंबा था। अगली बार मैंने पत्र "I" को संख्या "1" में बदल दिया और संख्याओं के लिए दो क्रेडिट प्राप्त किए, जिसने पासवर्ड को 13 के बराबर कर दिया।

पासवर्ड परीक्षण

libpwquality पैकेज लेख में वर्णित कार्यक्षमता प्रदान करता है। यह pwscore प्रोग्राम के साथ भी आता है, जिसे जटिलता के लिए पासवर्ड की जांच करने के लिए डिज़ाइन किया गया है। हमने इसका उपयोग ऋणों की जांच करने के लिए किया है।

pwscore उपयोगिता pwscore से पढ़ता है। बस उपयोगिता को चलाएं और अपना पासवर्ड लिखें, यह 0 से 100 तक एक त्रुटि या एक मूल्य देगा।

पासवर्ड गुणवत्ता स्कोर कॉन्फ़िगरेशन फ़ाइल में minlen पैरामीटर से संबंधित है। सामान्य तौर पर, 50 से कम संकेतक को "सामान्य पासवर्ड" माना जाता है, और "मजबूत पासवर्ड" के रूप में। कोई भी पासवर्ड जो क्वालिटी चेक (विशेष रूप से cracklib मजबूर चेक) पास करता है, उसे डिक्शनरी हमलों का सामना करना पड़ता है, और डिफ़ॉल्ट minlen सेटिंग के साथ 50 से अधिक स्कोर वाले पासवर्ड पर भी एक brute force हमला होगा।

निष्कर्ष

cracklib के सीधे संपादन के साथ cracklib का उपयोग करने की असुविधा की तुलना में pwquality स्थापित करना pwquality और आसान है। इस गाइड में, हमने Red Hat 7, CentOS 7 और यहां तक ​​कि उबंटू सिस्टम पर पासवर्ड नीतियों को स्थापित करने के लिए आवश्यक सभी चीजों को कवर किया है। हमने ऋण की अवधारणा के बारे में भी बात की, जो शायद ही कभी विस्तार से लिखी जाती है, इसलिए यह विषय अक्सर उन लोगों के लिए समझ से बाहर रहा, जिन्होंने पहले इसका सामना नहीं किया था।

सूत्रों का कहना है:

pwquality मैन पेज
pam_pwquality मैन पेज
pwscore मैन पेज

उपयोगी लिंक:

सुरक्षित पासवर्ड चुनना - ब्रूस श्नाइयर
लॉरी फेथ क्रेन ने सीएमयू में अपने पासवर्ड के अध्ययन पर चर्चा की
Entropy पर बदनाम xkcd कार्टून