cctg: CentOS 7 帳號的密碼規則

2022/10/3

CentOS 7 帳號的密碼規則

密碼定期更新

在 /etc/login.defs 可設定定期更新的策略，以下是 CentOS 7 裡面該設定檔的預設值

PASS_MAX_DAYS    99999   # 密碼到期時間
PASS_MIN_DAYS    0       # 初始密碼更改時間
PASS_MIN_LEN    5       # 密碼最小長度
PASS_WARN_AGE    7       # 密碼過期提示時間

修改設定檔後，只會影響到新的帳號，如果要修改現有帳號的規則，要使用 chage 指令

-m：最少必須相隔幾天才能改變密碼，0 代表任何時候都可以更改密碼。
-M：最多必須相隔幾天才能改變密碼
-w：用戶密碼到期前，提前收到警告信息的天數。
-E：帳號到期的日期。過了這天，此帳號將不可用。
-d：上一次更改的日期。
-I：停滯時期。如果一個密碼已過期這些天，那麼此帳號將無法使用。
-l：列印當前的設置。由非特權用戶來確定他們的密碼或帳號何時過期。

example

# 查看 root 的設定
chage -l root

# 設定90 天後過期
chage -M 90 root

# 設定今天後 180 天的那一天，密碼過期
chage -E $(date -d +180days +%Y-%m-%d)

密碼複雜度

透過 PAM pwquality 模組提供這個功能，該模組替換了 CentOS6 的 pam_cracklib

相關的參數有

retry=N：定義登入/修改密碼失敗時，可以重試的次數；
difok=N：定義新密碼中必須有幾個字元要與舊密碼不同
minlen=N：定義使用者密碼的最小長度；
dcredit=N：定義使用者密碼中最多包含多少個數字；如果是負數(ex:-1) 代表至少要有一個數字
ucredit=N：定義使用者密碼中最多包含多少個大寫字母；如果是負數(ex:-1) 代表至少要有一個大寫字母
lcredit=N：定義使用者密碼中最多包含多少個小寫字母；如果是負數(ex:-1) 代表至少要有一個小寫字母
ocredit=N：定義使用者密碼中最多包含多少個特殊字元（除數字、字母之外）；如果是負數(ex:-1) 代表至少要有一個特殊字元
enforce_for_root 確保即使是root使用者設定密碼，也應強制執行複雜性策略
minclass：最少要有幾類字元
maxrepeat：允許連續相同的字元的最大數目
maxclassrepeat：允許連續同一類的字元的最大數目

相關設定檔有兩個

/etc/pam.d/system-auth
/etc/security/pwquality.conf

可直接修改/etc/pam.d/system-auth，寫在這一行的後面，也就是當作該 module 的參數

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=

# 最少 8 位, ucredit=0 不需要大寫字母, ocredit=0 不需要符號
password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=8 lcredit=-1 ucredit=0 dcredit=-1 ocredit=0 enforce_for_root

比較推薦的方法，是修改設定檔 /etc/security/pwquality.conf

minlen = 8
dcredit=-1
ucredit=0
lcredit=-1
ocredit=0
enforce_for_root

可查看 manual，有設定的說明

man pam_pwquality

另外也可下指令修改 /etc/security/pwquality.conf

# 最小長度
authconfig --passminlen=8 --update
grep "^minlen" /etc/security/pwquality.conf

# 設置允許連續同一類的字元的最大數目
authconfig --passmaxclassrepeat=6 --update
grep "^maxclassrepeat" /etc/security/pwquality.conf

# 至少需要一個小寫字元
authconfig --enablereqlower --update
grep "^lcredit" /etc/security/pwquality.conf

# 至少需要一個大寫字元
authconfig --enablerequpper --update
grep "^ucredit" /etc/security/pwquality.conf

# 至少需要一個數字
authconfig --enablereqdigit --update
grep "^dcredit" /etc/security/pwquality.conf

# 至少一個特殊符號
authconfig --enablereqother --update
grep "^ocredit" /etc/security/pwquality.conf