如何配置Linux

                                            

如何配置Linux系统的密码策略？完整指南


在当今数字化时代，系统安全变得比以往任何时候都更加重要。作为系统管理员，配置合理的密码策略是保护Linux服务器的第一道防线。本文将详细介绍如何通过PAM(Pluggable Authentication Modules)和/etc/login.defs文件来强化您的Linux系统密码策略。


一、理解Linux密码策略的重要性
根据最新的网络安全报告，约80%的数据泄露与弱密码或密码管理不善有关。Linux系统提供了多种机制来强制实施强密码策略，包括：

密码长度要求
密码复杂度要求
密码历史记录
密码有效期
账户锁定策略


二、通过/etc/login.defs配置基础策略
这个文件控制着用户密码的全局设置，以下是关键参数：

# 密码最长有效期(天)
PASS_MAX_DAYS 90
# 密码最短有效期(天)
PASS_MIN_DAYS 7
# 密码最小长度
PASS_MIN_LEN 12
# 密码过期前警告天数
PASS_WARN_AGE 14


三、使用PAM模块增强密码复杂度
PAM的pam_pwquality模块(以前称为pam_cracklib)提供了更精细的密码复杂度控制：

# 编辑/etc/pam.d/system-auth或/etc/pam.d/common-password
password requisite pam_pwquality.so try_first_pass retry=3 minlen=12 \
lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 difok=4 enforce_for_root


参数说明：

minlen=12: 最小密码长度12个字符
lcredit=-1: 至少1个小写字母
ucredit=-1: 至少1个大写字母
dcredit=-1: 至少1个数字
ocredit=-1: 至少1个特殊字符
difok=4: 新密码必须与旧密码有至少4个字符不同


四、配置密码历史记录
防止用户重复使用旧密码：

# 在/etc/pam.d/system-auth中添加：
password required pam_unix.so remember=5 use_authtok sha512 shadow

这会记住最近5次使用的密码，防止重复使用。

五、账户锁定策略
防止暴力破解攻击：

# 编辑/etc/pam.d/system-auth或/etc/pam.d/common-auth
auth required pam_tally2.so deny=5 unlock_time=900 onerr=succeed file=/var/log/tallylog

此配置会在5次失败登录尝试后锁定账户15分钟(900秒)。

六、验证和测试密码策略
配置完成后，需要进行测试：

尝试设置不符合要求的密码
检查日志文件/var/log/secure或/var/log/auth.log
使用chage命令查看用户密码过期信息
使用pam_tally2查看失败登录尝试


七、最佳实践建议

为root账户设置更严格的策略
定期审查密码策略的有效性
结合双因素认证增强安全性
考虑使用密码管理器解决方案
定期对员工进行安全意识培训


通过正确配置Linux密码策略，您可以显著提高系统安全性，减少未经授权访问的风险。记住，安全是一个持续的过程，需要定期审查和更新策略以适应新的威胁环境。