☰

Deaktivieren Sie SSH-Anmeldungen mit schwachen Passwörtern

tag-icon • tag-icon ssh
Deaktivieren Sie SSH-Anmeldungen mit schwachen Passwörtern

Stellen Sie sich einen verrückten Debian-Serveradministrator vor, der zunächst Benutzer mit einem schwachen Passwort anlegt und darauf hinweist, dass diese es bei der ersten Anmeldung ändern müssen.

Da er jetzt nur noch sichere Passwörter verwendet, gibt es eine Möglichkeit, jeden Benutzer mit einem schwachen Passwort aufzufordern, es in ein sichereres Passwort mit mindestens 12 Zeichen, Zahlen, Sonderzeichen usw. zu ändern, ohne Benutzer zu belästigen, die bereits ein sicheres Passwort haben?

Antwort1

Zweistufige Lösung:

  1. Erlauben Sie Benutzern nicht, schwache Passwörter zu erstellen. Sie können dies teilweise mit pam_unix.so mit einer Zeile wie in Ihrer Pam-Konfiguration (vermutlich in /etc/pam.d/common-passwordoder ähnlich) tun (obscure und minlen=9 helfen ein wenig):

    Passwort [Erfolg=1 Standard=Ignorieren] pam_unix.so obscure minlen=9 sha512
    oder installieren Sie einen ausgefeilteren Kennwortprüfer in PAM (wie pam-cracklib, das die Kennwortstärke prüft, Kennwörter mit Wörterbüchern abgleichen usw. kann, wenn ein Benutzer versucht, sein Kennwort zu ändern).

  2. Wenn Sie zuvor schwache Passwörter zugelassen haben, müssen bei der nächsten Anmeldung alle Passwörter geändert werden. Sehen Sie sich an, man shadowwie Sie das Passwort festlegen, indem Sie das Datum der letzten Passwortänderung auf setzen . 0Vorausgesetzt, Sie müssen es nicht /etc/shadowdirekt bearbeiten – Sie können dies mit tun sudo chage -d 0 $USERNAME(oder verwenden sudo passwd -e $USERNAME). Wenn Sie alle Passwörter ablaufen lassen möchten und jeder ein Verzeichnis mit seinem Benutzernamen in hat, /homekönnen Sie Folgendes tun:

    sudo su
CD /Home
für BENUTZERNAME in *; führe chage -d 0 $BENUTZERNAME aus; fertig

Antwort2

Du brauchst eincracklibUndPAM-Cracklibum Ihren Fall zu lösen. Die Idee ist, dass SSH PAM verwendet und das Passwort nahtlos und sicher überprüft wird. Schauen Sie sich den letzten Link an, den ich bereitgestellt habe - er enthält ein großartiges Tutorial, dem ich nichts hinzuzufügen habe

Antwort3

Nein, das würde er nicht schaffen.

Das Passwort wird lediglich als "Hash" in /etc/shadow- gespeichert. Der Admin erfährt also überhaupt nicht, wie die Passwörter aussehen.

Er kann also alle Benutzer lediglich auffordern, bei der nächsten Anmeldung das Kennwort zu ändern und anschließend überprüfen, ob es gültig ist.

verwandte Informationen