☰

Deshabilite los inicios de sesión ssh con contraseñas débiles

tag-icon • tag-icon ssh
Deshabilite los inicios de sesión ssh con contraseñas débiles

Imagínese un administrador de servidor Debian loco, que agregó usuarios con una contraseña débil para empezar y una pista de que deben cambiarla en el primer inicio de sesión.

Ahora que solo usa contraseñas seguras, ¿hay alguna manera de solicitar a cada usuario con una contraseña débil que la cambie por una contraseña más segura con al menos 12 caracteres, números, caracteres especiales,... sin molestar a los usuarios, eso ya ¿Tiene una contraseña segura?

Respuesta1

Solución de dos pasos:

  1. No permita que los usuarios creen contraseñas débiles. Puedes hacer esto parcialmente con pam_unix.so con una línea como en tu configuración de pam (presumiblemente en /etc/pam.d/common-passwordo similar) (oscuro y minlen=9 ayudarán un poco):

    contraseña [éxito = 1 predeterminado = ignorar] pam_unix.so oscuro minlen = 9 sha512
    o instale un verificador de contraseñas más sofisticado en PAM (como pam-cracklib que verifica la seguridad de la contraseña, puede comparar contraseñas con diccionarios, etc. cada vez que un usuario intenta cambiar su contraseña).

  2. Si anteriormente permitió contraseñas débiles, solicite que todas las contraseñas cambien en el próximo inicio de sesión. Mire man shadowpara establecer la contraseña estableciendo la fecha del último cambio de contraseña en 0, dado que no tiene que editarla /etc/shadowdirectamente; puede hacerlo con sudo chage -d 0 $USERNAME(o usar sudo passwd -e $USERNAME). Si desea que todas las contraseñas caduquen y todos tengan un directorio con su nombre de usuario, /homepuede hacer lo siguiente:

    sudo su
cd/casa
para NOMBRE DE USUARIO en *; hacer cambio -d 0 $NOMBRE DE USUARIO; hecho

Respuesta2

Tu necesitas uncracklibyPAM-cracklibpara resolver su caso. La idea es que SSH utilice PAM y la contraseña se examinará de forma transparente y segura. Eche un vistazo al último enlace que proporcioné: contiene un excelente tutorial, no tengo nada que agregarle.

Respuesta3

No, él no sería capaz de hacer eso.

La contraseña sólo se almacena como un "hash" en /etc/shadow-. Entonces el administrador no sabe en lo más mínimo cómo son las contraseñas.

Por lo tanto, solo puede solicitar a todos los usuarios que cambien la contraseña en el próximo inicio de sesión y luego verificar que sea buena.

información relacionada