Anteriormente vimos como realizar una configuración básica para securizar nuestros servidores GNU/Linux (Hardening básico en GNU/Linux), en este caso vamos a fortalecer las contraseñas de acceso de los usuarios mediante Módulos de Autentificación Conectables.
¿Que es PAM?
La estructura del módulo de autenticación conectable (PAM) permite a los administradores coordinar y configurar requisitos de autenticación de usuarios para cuentas, credenciales, sesiones y contraseñas sin modificar los servicios que requieren autenticación.
La estructura PAM permite a las organizaciones personalizar la experiencia de autenticación del usuario y la función de administración de contraseñas, sesiones y cuentas. Los servicios de entrada del sistema, como login y ssh, utilizan la estructura PAM para proteger todos los puntos de entrada del sistema recién instalado. PAM permite la sustitución o modificación de los módulos de autenticación en el campo para proteger el sistema contra cualquier debilidad recién detectada sin la necesidad de realizar cambios a ningún servicio del sistema que use la estructura PAM.
Instalación en Debian y derivados: :
apt-get install libpam-cracklibConfiguramos las directivas en el archivo common-password
vi /etc/pam.d/common-passwordInstalación en Red-Hat y derivados:
yum install cracklibConfiguramos las directivas en el archivo system-auth
vi /etc/pam.d/system-authConfigurar directivas:
Una vez dentro del archivo buscamos la linea «password requisite pam_cracklib.so retry=3 minlen=8 difok=3«. En esta linea definimos la complejidad de la contraseña.
Ejemplo:
password requisite pam_cracklib.so try_first_pass retry=3 minlen=8 lcredit=1 ucredit=1 dcredit=1 ocredit=1- minlen: especifica el número mínimo de caracteres.
- lcredit: especifica el número mínimo de letras minúsculas
- ucredit: especifica el número mínimo de letras mayúsculas
- dcredit: especifica el número mínimo de caracteres numéricos
- ocredit: especifica el número de caracteres de otro tipo, como por ejemplo símbolos.
Definir el periodo de expiración de la contraseña:
Para establecer un período máximo para la contraseña, se debe editar las siguientes variables en /etc/login.defs.
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7En mi caso lo he dejado así:
PASS_MAX_DAYS 100
PASS_MIN_DAYS 0
PASS_WARN_AGE 10Esta directiva obligara a los usuarios a cambia la contraseña cada 100 días, y enviara un mensaje 10 días antes del vencimiento de la contraseña.
Mediante el comando chage podemos establecer la caducidad de las contraseñas a un usuario especifico.
Vemos la directivas de un usuario:
chage -l rokitoh
Último cambio de contraseña :ene 28, 2015
La contraseña caduca : nunca
Contraseña inactiva : nunca
La cuenta caduca : nunca
Número de días mínimo entre cambio de contraseña : 0
Número de días máximo entre cambio de contraseña : 99999
Número de días de aviso antes de que caduque la contraseña : 7Por defecto se establece que la contraseña de un usuario no caduque nunca. Para cambiar esto simplemente ejecutamos el siguiente comando:
chage -E 5/02/2016 -m 10 -M 80 -I 30 -W 14 rokitoh- -E 5/02/2016: Esblece que la contraseña expirara el: 5/02/2016
- -m 10 -M 80: Numero maximo/minimo de días entre los cambios.
- -I 30: Se bloqueara a los 30 días despues de que expire la contraseña
- -W 14: Envía el mensaje de advertencia 14 días antes de la expiración de la contraseña
Un saludo, rokitoh!
:wq!
Comentarios