Vitajte na [www.pocitac.win] Pripojiť k domovskej stránke Obľúbené stránky
Core Idea:
* Perie založené na čase: Po určitom počte dní (definovaných správcom systému) sa heslo používateľa stáva „starým“ a vyžaduje, aby ho pri ďalšom prihlásení zmenili.
Ako to funguje (atribúty kľúčov):
* `Age` v`/etc/Shadow`: Najbežnejšia implementácia je spravovaná súborom `/etc/Shadow` (ktorý bezpečne ukladá informácie o hesle). Tento súbor obsahuje atribúty týkajúce sa starnutia hesla pre každého používateľa. Kľúčové atribúty, ktoré môžete vidieť, sú:
* `Last_changed` (posledný dátum zmeny): Počet dní od epochy (1. januára 1970), keď sa heslo naposledy zmenilo. Toto je východiskový bod na výpočet starnutia.
* `min_days` (minimálny vek hesla): Minimálny počet dní, ktoré sa musia prejsť * pred * používateľom môže znova zmeniť svoje heslo. To bráni používateľom okamžite sa vrátiť k starému, potenciálne ohrozenému heslu.
* `max_days` (maximálny vek hesla): Maximálny počet dní, v ktorom môže byť heslo platné. Po mnohých dňoch je užívateľ nútený zmeniť ho pri ďalšom prihlásení.
* `warn_days` (výstražné obdobie): Počet dní * pred * vypršaním platnosti `max_days`, v ktorom používateľ začne prijímať výstrahy pred platnosťou hesla. To im dáva čas na to, aby sa ich pohodlne zmenili.
* `inaktive_days` (obdobie nečinnosti): Počet dní po vypršaní vypršania vypršania hesla je zakázaný. Efektívne zamkne používateľa.
* `expire_date` (dátum vypršania platnosti účtu): Pevný dátum (dni od epochy), keď sa celý účet stane nepoužiteľným. Toto je samostatný koncept, ale často sa používa v spojení s starnutím hesla na správu dočasných účtov.
* `flag`: Príznak, ktorý sa dá použiť na zakázanie funkcie starnutia hesla alebo na vynútenie zmeny hesla pri nasledujúcom prihlásení.
* `Passwd` príkaz: Používatelia a správcovia zvyčajne používajú príkaz `passwd` na zmenu hesiel. Keď používateľ zmení svoje heslo, dátum `last_changed` v`/etc/Shadow` sa aktualizuje.
* Proces prihlasovania: Keď sa používateľ pokúsi prihlásiť, systém skontroluje dátum `last_changed` proti hodnotám` max_days` a `warn_days` v`/etc/shadow`. Ak sa heslo uplynulo, užívateľ sa zobrazí výzva na jeho zmenu * Pred * má prístup k svojmu účtu. Ak sa heslo blíži k exspirácii, zobrazí sa výstražná správa.
Príklad:
Povedzme, že `/etc/Shadow` má nasledujúci (zjednodušený) záznam pre používateľa s názvom„ John “:
`` `
John:$ 6 $ Somesalt $ hashstring:19400:7:90:7:-1 :::
`` `
Tu je návod, ako to interpretovať (za predpokladu štandardných významov polí):
* `John`:Používateľské meno.
* `$ 6 $ somesalt $ hashstring`:Hash hesla.
* `19400`:` Last_changed` (dni od epochy).
* `7`:` min_days` (musí počkať najmenej 7 dní, kým sa znova zmení).
* `90`:` max_days` (heslo vyprší po 90 dňoch).
* `7`:` warn_days` (varujte používateľa 7 dní pred vypršaním platnosti).
* `-1`:` inAct_days` (zakázané). V tomto príklade sa nepoužíva.
* `:::` - Dátum vypršania platnosti účtu (prázdny, čo znamená, že platnosť platnosti účtu)
To znamená:
1. John naposledy zmenil svoje heslo v deň 19400 (od epochy).
2. Musí počkať najmenej 7 dní, kým ho znova zmení.
3. Jeho heslo vyprší 90 dní po roku 19400.
4. Varovaný pred uplynutím platnosti 7 dní pred dátumom uplynutia.
Nástroje pre správu:
* `Passwd` príkaz: Ako už bolo spomenuté, používatelia a správcovia používajú na zmenu hesiel „PassWd“.
* `príkaz Chage`: Príkaz `Chage` (Change Age) je špeciálne navrhnutý na správu parametrov starnutia hesla v`/etc/Shadow`. Správcovia ho používajú na nastavenie `min_days`,` max_days`, `warn_days`, atď. Pre jednotlivých používateľov.
* Pam (moduly s autentifikáciou zapojenia PAM je rámec, ktorý vám umožňuje prispôsobiť mechanizmy autentifikácie. Starnutie hesla sa zvyčajne zaobchádza prostredníctvom modulov PAM, ktoré poskytujú flexibilitu v tom, ako sa implementuje. Konfigurujete PAM v súboroch v rámci `/etc/pam.d/`.
* `/etc/login.defs`: Tento súbor nastavuje predvolené predvolené hodnoty pre starnutie hesla a ďalšie parametre súvisiace s prihlasovaním. Hodnoty nastavené tu sa často používajú ako východiskový bod, pokiaľ nie sú uvedené konkrétne nastavenia používateľa v `/etc/Shadow`.
Prečo používať starnutie hesla?
* zmierniť praskanie hesla: Aj keď je heslo slabé alebo ohrozené útokmi Brute Force alebo útokov slovníka, nakoniec sa zmení, čím sa obmedzí okno príležitostí útočníka.
* Znížte vplyv opätovne použitých hesiel: Mnoho používateľov používa heslá na viacerých účtoch. Ak je ohrozená jedna služba, sú ohrozené heslá používateľa v iných službách. Pravidelné zmeny hesla to môžu zmierniť.
* Dodržiavanie: Mnoho bezpečnostných politík a predpisov vyžaduje starnutie hesla ako osvedčené postupy zabezpečenia.
* Insider hrozby: Starnutie hesla môže pomôcť zmierniť riziká od nespokojných alebo bývalých zamestnancov, ktorí by mohli poznať heslo.
Nevýhody:
* Obťažovanie používateľa: Používatelia často zistia, že časté zmeny hesla sú nepríjemné, čo vedie k:
* predvídateľné heslá: Používatelia môžu jednoducho zvýšiť číslo na konci svojho hesla, čím sa dá ľahko predvídať.
* Post-it Poznámky: Zapisovanie hesiel porazí účel.
* Únava hesla: Používatelia môžu zabudnúť na svoje heslá častejšie a zvyšujú hovory technickej podpory.
* Nerieha na phishing alebo sociálne inžinierstvo: Samotné starnutie hesla nebude chrániť pred tým, aby používatelia dobrovoľne rozdávali svoje heslá.
Moderné úvahy (nad tradičným starnutím hesla):
Aj keď starnutie hesla bolo dlhoročnou bezpečnostnou praxou, moderné odporúčania často naznačujú posun k:
* Strong Heslá: Presadzujte požiadavky na zložitosť hesla (dĺžka, typy znakov) a zabrániť používateľom používať slabé alebo ľahko uhádnuteľné heslá. Nástroje ako `pwquality` a PAM moduly s tým pomáhajú.
* Multifaktorové overenie (MFA): Pridajte ďalšiu vrstvu zabezpečenia nad rámec iba hesla (napr. Kód z mobilnej aplikácie).
* Manažéri hesiel: Povzbudzujte používateľov, aby používali správcov hesiel na generovanie a ukladanie silných a jedinečných hesiel pre každý účet.
* Monitorovanie a varovanie: Zistite podozrivú prihlasovaciu aktivitu (napr. Neobvyklé miesta prihlasovania, viacnásobné neúspešné pokusy o prihlásenie).
* Detekcia kompromitovaných hesiel: Používajte služby, ktoré zistia, či heslá boli uniknuté v porušovaní údajov, a informujte používateľov, aby ich zmenili.
Starnutie hesla sama osebe sa už nepovažuje za úplné bezpečnostné riešenie, ale stále môže byť užitočnou súčasťou v širšej bezpečnostnej stratégii, najmä v kombinácii s inými osvedčenými postupmi. Najlepší prístup závisí od konkrétnych bezpečnostných potrieb a tolerancie rizika organizácie.