☰

Desative logins ssh com senhas fracas

tag-icon • tag-icon ssh
Desative logins ssh com senhas fracas

Imagine um administrador de servidor Debian maluco, que adicionou usuários com uma senha fraca para começar e uma dica, que eles precisam alterá-la no primeiro login.

Agora que ele usa apenas senhas seguras, existe uma maneira de solicitar a cada usuário com uma senha fraca que a altere para uma senha mais segura com pelo menos 12 caracteres, números, caracteres especiais,... sem incomodar os usuários, que já tem uma senha segura?

Responder1

Solução em duas etapas:

  1. Não permita que os usuários criem senhas fracas. Você pode fazer isso parcialmente com pam_unix.so com uma linha como na configuração do pam (presumivelmente em /etc/pam.d/common-passwordou similar) (obscure e minlen=9 ajudarão um pouco):

    senha [sucesso=1 padrão=ignorar] pam_unix.so obscuro minlen=9 sha512
    ou instale um verificador de senha mais sofisticado no PAM (como pam-cracklib que verifica a força da senha, pode verificar senhas em dicionários, etc. sempre que um usuário tenta alterar sua senha).

  2. Se você permitiu senhas fracas anteriormente, exija que todas as senhas sejam alteradas no próximo login. Veja man shadowcomo definir a senha definindo a data da última alteração de senha para 0, desde que você não precise editar /etc/shadowdiretamente - você pode fazer isso com sudo chage -d 0 $USERNAME(ou usar sudo passwd -e $USERNAME). Se você deseja expirar todas as senhas e todos tiverem um diretório com seus nomes de usuário, /homevocê pode fazer:

    sudo su
cd /home
para NOME DE USUÁRIO em *; faça chage -d 0 $NOME DE USUÁRIO; feito

Responder2

Você precisa de umcracklibePAM-cracklibpara resolver seu caso. A ideia é que o SSH use PAM e a senha seja examinada de forma integrada e segura. Dê uma olhada no último link que forneci - ele contém um ótimo tutorial, não tenho nada a acrescentar

Responder3

Não, ele não seria capaz de fazer isso.

A senha é armazenada apenas como um "hash" em /etc/shadow-. Portanto, o administrador não sabe como são as senhas.

Portanto, ele só pode solicitar que todos os usuários alterem a senha no próximo login e depois verificar se ela é válida.

informação relacionada