Beschränken Sie die Passwortversuche unter Linux, um kritische Dienste zu schützen.

Begrenzen Sie die Passwortversuche in Linux Es handelt sich nicht nur um eine Marotte paranoider Administratoren; es ist eine der effektivsten Maßnahmen, um Brute-Force-Angriffe und unberechtigten Zugriff sowohl in Desktop- als auch in Serverumgebungen zu verhindern. Wenn Ihr Computer sensible Daten enthält oder mit dem Internet verbunden ist, sollten Sie diesen Teil des Systems unbedingt absichern. Überprüfen Sie Ihr lokales Netzwerk.

Neben der Festlegung eines sicheren Passworts, Nach mehreren Fehlversuchen temporäre oder permanente Sperren konfigurieren Das ist entscheidend: Es bremst Angreifer aus, generiert mehr Protokolle für die Überprüfung und ermöglicht die Kombination dieses Schutzes mit anderen Passwortrichtlinien (Ablaufdatum, Komplexität, Wiederverwendung usw.). Sehen wir uns nun in Ruhe, aber detailliert an, wie dies in verschiedenen Distributionen und auf verschiedenen Systemebenen umgesetzt wird.

Kontosperrung aufgrund fehlgeschlagener Anmeldeversuche auf Red Hat, CentOS und Derivaten.

In den Verteilungen basierend auf Red Hat (RHEL, CentOS, Rocky, AlmaLinux…).Die Kontosperrung aufgrund fehlgeschlagener Anmeldeversuche wird mit dem PAM-Modul verwaltet. pam_faillockDieses Modul steuert, wie viele fehlgeschlagene Anmeldeversuche zulässig sind, wie lange das Konto gesperrt wird und welche Benutzer betroffen sind (einschließlich, falls gewünscht, des Root-Benutzers).

Um diese Richtlinie anzuwenden, müssen Sie die globalen PAM-Dateien bearbeiten, normalerweise /etc/pam.d/system-auth und in einigen Versionen auch /etc/pam.d/password-authDiese Dateien dienen als Vorlagen für die meisten Authentifizierungsdienste des Systems (Konsolenanmeldung, sudo, SSH usw.).

Diese Dateien enthalten Zeilen, die diesen ähneln, innerhalb des Abschnitts von auth y Konto:

auth required pam_faillock.so preauth silent audit deny=2 unlock_time=120
auth pam_faillock.so authfail audit deny=2 unlock_time=120
account required pam_faillock.so

Die erste Zeile spielt vor der eigentlichen Authentifizierung (Vorauthentifizierung)Der zweite Prozess wird ausgeführt, wenn die Authentifizierung fehlschlägt, und der dritte ist dafür zuständig, den Sperrstatus des Kontos während der Phase zu überprüfen. KontoDurch die Anpassung der Parameter können Sie die Richtlinie an Ihre Bedürfnisse anpassen.

Die gebräuchlichsten Parameter von pam_faillock sind:

• Prüfung: Ermöglicht die detaillierte Protokollierung von Anmeldeversuchen, sodass Spuren in den Systemprotokollen hinterlassen werden (zum Beispiel in / var / log / sicher).
• deny=2Hiermit wird die maximale Anzahl fehlgeschlagener Anmeldeversuche festgelegt, bevor das Konto gesperrt wird. In diesem Beispiel sind es 2, Sie können diesen Wert aber erhöhen (3, 5, 10 usw.).
• Entsperrzeit=120Das Doppelpunkt-Zeichen (:) gibt die Sperrzeit in Sekunden an. Hier wären es 120 Sekunden (2 Minuten), bis das Konto automatisch reaktiviert wird.
• stillFalls es vorhanden ist, Dem Benutzer wird nicht angezeigt, dass er gesperrt wurde.Es werden einfach keine Anmeldungen mehr angenommen, wodurch das System für einen Angreifer weniger "ausführlich" wird.

Ein wichtiges Detail ist, dass standardmäßig Die Wurzel ist von diesem Block ausgeschlossen.Wenn die gleichen Regeln auch dafür gelten sollen, müssen Sie den Parameter hinzufügen. even_deny_root in den pam_faillock-Zeilen des Authentifizierungsabschnitts. Dies erhöht die Sicherheit, aber Sie sollten das Risiko eines Zugriffsverlusts bei zu vielen Fehlern abwägen.

Wenn ein Konto gesperrt ist und Sie den Parameter nicht verwenden stillDas System kann explizite Warnmeldungen anzeigen, die darauf hinweisen, dass der Benutzer die zulässige Anzahl an Versuchen überschritten hat. Dies ist in Testumgebungen zur Überprüfung der Konfiguration hilfreich, im Produktivbetrieb ist es jedoch in der Regel ratsam, nicht zu viele Informationen preiszugeben.

Um die fehlgeschlagenen Anmeldeversuche eines bestimmten Benutzers anzuzeigen, können Sie auf Red Hat-Systemen den Befehl verwenden. Faillock Verweisen Sie auf das Konto, an dem Sie interessiert sind:

faillock --user lionel

Dieser Befehl zeigt Wie viele Fehlversuche hat der Benutzer insgesamt unternommen?einschließlich der im Falle von SSH verwendeten IP-Adresse und anderer für das Audit relevanter Details. Darüber hinaus können Sie jederzeit überprüfen, was in / var / log / sicherwo diese Sicherheitsereignisse protokolliert werden.

Kontosperrung aufgrund fehlgeschlagener Anmeldeversuche in Debian und Ubuntu

Bei Debian, Ubuntu und DerivateDie Logik ist ähnlich, aber das verwendete PAM-Modul ändert sich. Traditionell wurde es verwendet pam_tally2 um fehlgeschlagene Anmeldeversuche zu zählen und Konten automatisch zu sperren, obwohl in modernen Versionen die Migration zu empfohlen wird. pam_faillockTrotzdem ist pam_tally2 in vielen Anleitungen und Umgebungen immer noch sehr präsent.

Um in einem typischen Debian-System eine Sperre basierend auf der Anzahl fehlgeschlagener Versuche anzuwenden, bearbeitet man üblicherweise die Datei /etc/pam.d/common-authDiese Datei definiert die Standard-Authentifizierungsrichtlinie für die meisten lokalen Dienste. Sie können ihr eine Zeile wie diese hinzufügen:

auth required pam_tally2.so onerr=fail deny=3 unlock_time=120 audit even_deny_root root_unlock_time=600

Mit dieser Konfiguration wird das System Das Konto wurde nach 3 fehlgeschlagenen Versuchen gesperrt.Die Sperre wird für normale Benutzer 120 Sekunden lang und für Root-Benutzer 600 Sekunden lang aufrechterhalten. Sollte außerdem ein Fehler im Modul auftreten (onerr=failAus Sicherheitsgründen wird der Zugriff verweigert statt gewährt.

Die wichtigsten Parameter von pam_tally2 sind:

• onerr=failWenn beim Lesen oder Aktualisieren des Versuchszählers ein Problem auftritt, wird die Authentifizierung verweigert, um zu vermeiden, dass versehentlich eine Tür offen bleibt.
• deny=3Die maximale Anzahl zulässiger Fehlversuche, bevor das Konto gesperrt wird. Ein Wert von 3 ist in der Praxis in der Regel angemessen.
• Entsperrzeit=120: Zeit in Sekunden, die das Konto für Standardbenutzer gesperrt bleibt.
• Prüfung: Protokolliert Informationen zu Authentifizierungsfehlern (in Debian ist dies normalerweise /var/log/auth.log).
• even_deny_root: zwingt dazu, auch root in dieses Sperrsystem einzubeziehen, was mit Vorsicht zu verwenden ist.
• root_unlock_time=600: Spezifische Sperrzeit für das Root-Konto in Sekunden, unabhängig von den anderen Benutzern.

Wenn die Sperre aktiviert wird, erhält der Benutzer eine Meldung, dass sein Konto aufgrund zu vieler fehlgeschlagener Anmeldeversuche vorübergehend deaktiviert wurde. Dies ermöglicht dem Administrator, verdächtiges Verhalten zu erkennen und den Benutzer zu warnen, dass etwas nicht stimmt.

Um die aufgezeichneten fehlgeschlagenen Versuche anzuzeigen pam_tally2 Für einen bestimmten Benutzer (zum Beispiel lionel) können Sie Folgendes verwenden:

pam_tally2 -u lionel

Dieser Befehl zeigt die Anzahl der kumulierten Ausfälle an Es ermöglicht Ihnen außerdem, den Zähler bei Bedarf manuell zurückzusetzen, und bietet zusätzliche Optionen. Darüber hinaus haben Sie, genau wie bei Red Hat, jederzeit die Möglichkeit, die Daten zu überprüfen. /var/log/auth.log um genauer zu sehen, was bei jedem Authentifizierungsversuch geschah.

Begrenzen Sie SSH-Versuche mit MaxAuthTries

Einer der häufigsten Einstiegspunkte in Linux-Servern ist SSHDeshalb ist es entscheidend, die Anzahl der zulässigen Authentifizierungsversuche pro Verbindung zu steuern. Hier kommt die Richtlinie ins Spiel. MaxAuthTries, die in der Datei konfiguriert ist / etc / ssh / sshd_config vom OpenSSH-Server.

Die Idee ist einfach: MaxAuthTries definiert die maximale Anzahl an Authentifizierungsversuchen, die pro SSH-Verbindung zulässig sind.Wird dieses Limit überschritten, unterbricht der Server die Verbindung, wodurch der Angreifer gezwungen ist, eine neue Sitzung zu starten, um weitere Kombinationen auszuprobieren. Dies verlangsamt automatisierte Brute-Force-Angriffe erheblich.

Um es zu konfigurieren, bearbeiten Sie einfach die Konfigurationsdatei:

sudo nano /etc/ssh/sshd_config

Suchen oder fügen Sie als Nächstes eine Zeile wie diese hinzu:

MaxAuthTries 3

Mit diesem Wert, Pro SSH-Verbindung sind nur drei Authentifizierungsversuche zulässig.Wenn ein Benutzer denselben Fehler mehrmals begeht, wird er vom SSHD-Daemon abgemeldet. Damit die Änderung wirksam wird, muss der Dienst neu geladen oder neu gestartet werden, beispielsweise mit:

sudo systemctl restart sshd

MaxAuthTries ersetzt keine PAM-Module wie pam_tally2 oder pam_faillock, sondern arbeitet parallelDer SSH-Server steuert, wie viele aufeinanderfolgende Versuche in einer einzelnen Sitzung zulässig sind, während PAM eine globale Zählung pro Benutzer führt und dessen Konto auf Systemebene sperren kann.

Zusätzlich zu MaxAuthTries empfiehlt es sich, weitere SSH-Sicherheitsmaßnahmen zu kombinieren, um den Dienst deutlich robuster zu gestalten:

• Ändern Sie den StandardportDie Verwendung von Port 22 zu vermeiden und SSH auf einen weniger offensichtlichen Port umzustellen, hilft dabei, viele grundlegende automatische Scans herauszufiltern.
• Verwenden Sie öffentliche Schlüssel anstelle von Passwörtern.Die Authentifizierung mittels SSH-Schlüsseln beseitigt das Problem schwacher Passwörter und ist wesentlich robuster gegen Brute-Force-Angriffe.
• Beschränken Sie die Quellen mithilfe einer Firewall oder konfigurieren Sie eine DMZ.Die Beschränkung des SSH-Zugriffs auf bestimmte IP-Adressen oder Netzwerkbereiche stellt eine sehr wirksame Barriere auf Netzwerkebene dar.

Begrenzen Sie lokale Authentifizierungsversuche mit PAM

Neben SSH gibt es noch weitere Möglichkeiten. lokale Authentifizierung (Konsole, TTYs, sudo, grafischer Anzeigemanager) wird ebenfalls mit PAM verwaltet. In Debian und Ubuntu beispielsweise ist die Datei /etc/pam.d/common-auth Es ist das Herzstück dieser Konfiguration und spielt in Red Hat-Systemen die Rolle des/der/s. Systemauth (und manchmal Passwort-Authentifizierung).

Neben speziellen Blockierungsmodulen wie pam_faillock oder pam_tally2 ermöglichen einige Distributionen die direkte Begrenzung von Anmeldeversuchen und -zeiten durch login.defsIn dieser Datei, die sich befindet in /etc/login.defsEs werden Werte wie die folgenden deklariert:

• LOGIN_RETRIES: Maximale Anzahl an Wiederholungsversuchen, die beim Anmeldevorgang zulässig sind, bevor der Vorgang abgebrochen wird.
• ZEITÜBERSCHREITUNG BEIM ANMELDEN: Maximale Wartezeit in Sekunden, die die Anmeldesitzung auf Benutzereingaben warten darf.

Wenn Sie beispielsweise anpassen LOGIN_RETRIES Bei einer Beschränkung auf drei Passwörter hat ein Benutzer nur drei Versuche, sein Passwort während einer einzigen Anmeldesitzung einzugeben, bevor das System diesen Versuch abbricht und ihn zum Neustart des Vorgangs zwingt. Das Konto wird dadurch nicht direkt gesperrt, aber… Begrenzung der Versuche pro Sitzung.

In derselben Datei login.defs Sie können auch andere relevante Sicherheitsparameter anpassen, wie zum Beispiel:

• PASS_MAX_DAYS: Maximale Anzahl an Tagen, die ein Passwort verwendet werden kann, bevor es zur Änderung gezwungen wird.
• PASS_MIN_DAYS: Mindestanzahl an Tagen zwischen Passwortänderungen, um übermäßig häufige und aufeinanderfolgende Änderungen zu vermeiden.
• PASS_WARN_AGE: Tage vor Ablauf des Passworts, damit der Benutzer Zeit zum Reagieren hat.
• PASS_MIN_LEN y PASS_MAX_LEN: minimale und maximale Passwortlänge.
• PASS_ALWAYS_WARN: Warnt, wenn das Passwort bestimmte Sicherheitskriterien nicht erfüllt.
• PASS_CHANGE_TRIES: Maximale Anzahl von Passwortänderungsversuchen, falls das neue Passwort als zu einfach angesehen wird.
• ENCRYPT_METHODHash-Algorithmus, der für Passwörter verwendet werden soll (heutzutage ist üblicherweise folgender verwendet): SHA-512, angegeben als $ $ 6).

Diese Richtlinien betreffen in erster Linie neue Nutzer Diese werden nach der Anpassung der login.defs erstellt und bieten daher eine bequeme Möglichkeit, eine Basisrichtlinie für die gesamte Organisation festzulegen.

Verwaltung von Versuchen und Ablaufdaten mit /etc/shadow und dem Befehl change

Die Datei / etc / Schatten Hier speichert das System die verschlüsselten Passwörter der lokalen Benutzer sowie alle Ablaufinformationen. Obwohl diese nicht täglich manuell geändert werden, ist das Verständnis ihrer Struktur für die Überprüfung und Optimierung der Sicherheitsrichtlinien äußerst hilfreich.

In jeder Zeile von / etc / Schatten Es erscheinen mehrere, durch Doppelpunkte getrennte Felder. Die für unsere Richtlinien relevantesten sind:

• Benutzername: kennzeichnet das Konto, zu dem die übrigen Felder gehören.
• Verschlüsseltes Passwort: wird gespeichert als $id$salt$hashedWo $id$ bezeichnet den Algorithmus ($1 MD5, $2a$/$2y$ Kugelfisch, $5 SHA-256, $6 SHA-512), gefolgt von Salz und Haschisch.
• Letzte Passwortänderung: Anzahl der Tage seit dem 1. Januar 1970 (Epoche), dem Tag der letzten Änderung.
• Mindest- und Höchstanzahl der NutzungstageSie legen fest, wann das Passwort wieder geändert werden kann und wann es abläuft.
• Ablaufdatum in TagenWie viele Tage vor Ablauf der Gültigkeitsdauer wird der Benutzer benachrichtigt?
• Tage der InaktivitätWie lange dauert es, bis das Konto nach Ablauf des Passworts vollständig deaktiviert wird?
• Absolutes Ablaufdatum des Kontos: auch im Tagesformat seit 1970, markiert den Zeitpunkt, ab dem die Anmeldung für diesen Benutzer nicht mehr möglich ist.

Um diese Parameter zu verwalten, ohne direkt in die Datei /etc/shadow einzugreifen, wird folgender Befehl verwendet: chage (Alter ändern), wodurch Sie das Passwort und das Ablaufdatum des Kontos für bestimmte Benutzer anpassen können.

Einige gängige Optionen für chage sind:

• -d, –letzterTag: Legt den Tag der letzten Passwortänderung fest (im Format „Tage seit der Unix-Epoche“ oder mit einem lesbaren Datum).
• -E, –Ablaufdatum: Legt das Datum fest, ab dem das Konto abläuft.
• -I, –inaktiv: markiert das Konto nach einer bestimmten Anzahl von Tagen ab Ablauf des Passworts als inaktiv.
• -m, –mindays: definiert die Mindestanzahl an Tagen zwischen Passwortänderungen.
• -M, –maxdays: gibt die maximale Anzahl an Tagen an, für die das Passwort gültig bleibt.
• -W, –warndays: Legt fest, wie viele Tage vor Ablauf die Benachrichtigung erfolgen soll.
• -l, –list: zeigt den aktuellen Ablaufstatus eines Benutzers an.

Zum Beispiel, um die Ablaufinformationen des Benutzers zu überprüfen. Pfeffer Es kann ausgeführt werden:

chage -l pepe

Der Ausgang wird angezeigt das Datum der letzten Änderung, ob das Passwort abläuft oder nicht, Inaktivität sowie die minimale und maximale Anzahl an Tagen...neben anderen Daten. Mit diesem Tool können Sie Richtlinien einzeln, für jeden Benutzer oder in Skripten anwenden, die ganze Gruppen von Konten verarbeiten.

Richtlinien zur Passwortkomplexität mit pam_cracklib und pam_pwquality

Die Begrenzung der Passwortversuche ist gut, aber mit Passwörtern wie „123456“ oder „qwerty“ kommt man nicht weit. Deshalb ist sie so wichtig. Starke Passwörter erzwingen unter Verwendung von PAM-Modulen wie pam_cracklib und in neueren Versionen pam_pwquality.

Das Modul pam_pwquality Es handelt sich um eine Weiterentwicklung von cracklib und es integriert sich in Bibliotheken wie beispielsweise libpwquality Um zu überprüfen, ob Passwörter in Wörterbüchern enthalten sind, nicht zu kurz sind und keine einfachen Muster oder persönliche Daten des Benutzers wiederholen, ist diese Funktion in RHEL-basierten Umgebungen standardmäßig integriert und kann unter Debian/Ubuntu mithilfe von Paketen wie beispielsweise installiert werden. libpam-cracklib y libpam-pwquality.

Nach der Installation erfolgt die Hauptkonfiguration üblicherweise in der Datei /etc/security/pwquality.confdort können Sie Komplexitätsparameter wie die folgenden definieren:

• Es tut mir Leid: Anzahl der Zeichen, die sich vom vorherigen Passwort unterscheiden müssen.
• Minlen: Mindestlänge für das neue Passwort.
• Anerkennung, ukredit, Kredit, er glaubtDank für die Verwendung von Ziffern, Großbuchstaben, Kleinbuchstaben und anderen Zeichen.
• MinklasseMindestanzahl erforderlicher unterschiedlicher Zeichenklassen (Kleinbuchstaben, Großbuchstaben, Ziffern, Symbole).
• maxrepeat: maximal zulässige Anzahl aufeinanderfolgender identischer Zeichen.
• maxclassrepeat: maximale Anzahl aufeinanderfolgender Zeichen derselben Klasse.
• gecoscheck: prüft, ob das Passwort Wörter aus dem GECOS-Feld (Kommentarfeld) des Benutzers in /etc/passwd enthält.
• Diktierpfad: Pfad zum Wörterbuch, das verwendet wird, um zu überprüfen, ob ein Passwort Teil eines bekannten Wortes ist.
• BADWORDS: Liste der ausdrücklich verbotenen Wörter.

Das System Credits Es ist besonders flexibel. Im Prinzip erhält ein Passwort Pluspunkte für die Verwendung verschiedener Zeichen; diese Pluspunkte können eine etwas kürzere Länge ausgleichen. Zum Beispiel mit minlen=10 y dcredit=2Ein 8-stelliges Passwort mit 2 Ziffern könnte den Filter passieren, da es 2 zusätzliche Credits einbringt. Wenn Sie jedoch negative Credits definieren, benötigen Sie mindestens ein negatives Zeichen (zum Beispiel 2). dcredit=-1 (Erfordert mindestens eine Ziffer, keine Ausnahmen).

Mit Minklasse Sie können festlegen, dass das Passwort mehrere verschiedene Zeichenklassen enthalten muss. Der Wert 2 erzwingt beispielsweise eine Kombination aus Buchstaben und Zahlen oder Buchstaben und Symbolen usw. minclass=4 Dies würde die gleichzeitige Verwendung von Kleinbuchstaben, Großbuchstaben, Ziffern und Sonderzeichen erfordern, was bei anspruchsvollen Unternehmensrichtlinien sehr typisch ist.

Werkzeuge wie pwscore Sie ermöglichen es Ihnen, die Stärke eines Passworts anhand definierter Richtlinien zu testen. Wenn ein Passwort durchläuft pwscoreHier erfahren Sie, ob der Schlüssel die Anforderungen erfüllt oder nicht und, falls nicht, gegen welche Regel er verstößt (unzureichende Länge, zu einfach, zu ähnlich zum vorherigen Schlüssel usw.).

Konfiguriere robuste Richtlinien unter Debian und Ubuntu mit pam_cracklib

In Debian/Ubuntu-Systemen ist die Verwendung sehr verbreitet. pam_cracklib (oder pwquality über PAM), um die Passwortrichtlinie durchzusetzen. Die Schlüsseldatei ist hier: /etc/pam.d/gemeinsames-passwort, das festlegt, wie Passwortänderungen für Systembenutzer verwaltet werden.

Bevor man irgendetwas ändert, ist es ratsam, eine Sicherungskopie der Datei anzulegen:

sudo cp /etc/pam.d/common-password /root/

Anschließend können Sie die Datei mit Ihrem bevorzugten Texteditor (nano, vim usw.) und Administratorrechten bearbeiten. Darin finden Sie eine Zeile ähnlich der folgenden:

password requisite pam_cracklib.so retry=3 minlen=8 difok=3

Hier werden Parameter wie die folgenden definiert:

• wiederholen: Anzahl der Versuche, die dem Benutzer beim Ändern seines Passworts erlaubt sind, bevor die Änderung fehlschlägt.
• Minlen: Mindestlänge des Passworts.
• Es tut mir Leid: Anzahl der Zeichen, die sich vom vorherigen Passwort unterscheiden müssen.
• ukredit, Kredit, Anerkennung, er glaubt: positive oder negative Gutschriften für Großbuchstaben, Kleinbuchstaben, Ziffern und andere Zeichen.

Ein Beispiel für eine recht anspruchsvolle Richtlinie könnte sein:

password requisite pam_cracklib.so retry=3 minlen=12 difok=3 ucredit=-3 lcredit=-3 dcredit=-3 ocredit=-3

Mit dieser Konfiguration, Jedes neue Passwort muss mindestens 12 Zeichen lang sein.Das Passwort muss sich in mindestens drei Zeichen vom vorherigen unterscheiden und mindestens drei Großbuchstaben, drei Kleinbuchstaben, drei Ziffern und drei Sonderzeichen enthalten. Das ist eine sehr strenge, aber äußerst wirksame Regel gegen einfache Passwörter.

Nachdem Sie die Richtlinie geändert haben, können Sie sie testen, indem Sie Ihr eigenes Passwort ändern mit:

sudo passwd

Entspricht das Passwort nicht den Anforderungen, zeigt das System Fehlermeldungen an, die den Grund angeben: zu kurz, ähnelt einem Wörterbuchwort, enthält zu viele sich wiederholende Zeichen usw. Sobald das Passwort den Richtlinien entspricht, wird die Änderung problemlos übernommen.

Zusätzlich zur Verschärfung der Richtlinien für neue Änderungen erlauben Debian und Ubuntu Folgendes: Bestehende Benutzer werden gezwungen, ihr Passwort zu ändern. sich an die neuen Regeln anpassen. Mit dem Befehl:

passwd -e USUARIO

Das Passwort dieses Benutzers ist abgelaufen. Beim nächsten Anmelden muss er ein neues, den aktuellen Richtlinien entsprechendes Passwort festlegen. Sie können den globalen Passwortablauf auch wie folgt steuern:

passwd -w 5 -x 30 USUARIO

wo -x 30 legt eine maximale Gültigkeitsdauer von 30 Tagen für das Passwort fest und -w 5 Dadurch benachrichtigt Sie das System 5 Tage vor dem Ablaufdatum. Wenn Sie hinzufügen -ich 1:

passwd -w 5 -x 30 -i 1 USUARIO

Das Konto wird als inaktiv markiert, wenn der Benutzer sein Passwort nicht ändert. einen Tag nach Ablaufwas den Administrator zum Eingreifen und zur Reaktivierung zwang.

Obwohl das häufige Ändern von Passwörtern seit Jahren empfohlen wird, schränken moderne Sicherheitsrichtlinien (wie beispielsweise die des NIST) diese Vorgehensweise ein: Es empfiehlt sich, lange und komplexe Passwörter sowie Zwei-Faktor-Authentifizierungssysteme zu verwenden., anstatt übermäßig häufige Änderungen zu erzwingen, die letztendlich zu vorhersehbaren Schlüsseln führen.

Konfigurieren Sie die PAM-Module (pam_faillock, pam_tally2, pam_cracklib, pam_pwquality) und wichtige Dateien wie z. B. sorgfältig. /etc/pam.d/common-auth, /etc/pam.d/gemeinsames-passwort, /etc/login.defs, / etc / ssh / sshd_config und verstehen, wie sich diese Entscheidungen widerspiegeln in / etc / SchattenDies markiert den Unterschied zwischen einem "Standard"-System und einer wirklich gehärteten Umgebung gegen unberechtigten Zugriff und Brute-Force-Angriffe.