利用pam模块passwdqc限定linux用户密码强度

最新推荐文章于 2023-12-01 14:24:01 发布

dingodingy

最新推荐文章于 2023-12-01 14:24:01 发布

阅读量3.8k

点赞数

CC 4.0 BY-SA版权

分类专栏：安全 linux 文章标签： linux 密码密码强度密码策略 passwdqc

本文链接：https://blog.youkuaiyun.com/dingodingy/article/details/84505427

本文介绍了如何通过pam模块passwdqc来强化Linux系统的密码强度，尤其是针对root用户的密码限制。passwdqc允许设定复杂的规则，例如禁止单一或双重字符类型密码，识别常见词汇并设定最小长度，以及防止过于相似的密码。此外，还提到了disable_firstupper_lastdigit_check选项，以避免特定字符识别问题。通过这样的设置，可以提升系统安全性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

限定linux上的root密码强度本身就是一个伪命题。root用户可以直接操作/etc/shadow 修改密码。之所以要这么搞主要还是为了稍微提高一下系统的安全性，毕竟不是人人都知道shadow的改法。
windows也类似，可以通过修改注册表的方式修改密码，但是windows的安全策略依然有密码强度的选项。
之所以选择passwdqc，是因为网上找了一下，发现绝大多数的linux密码强度策略限制都只针对非root用户，而passwdqc可以限定到root用户。
passwdqc的主页如下：
http://www.openwall.com/passwdqc/
配置文件的规则说明如下：
http://www.openwall.com/passwdqc/README.shtml

简单找一个我的规则解释一下：
(注：ubuntu的配置文件在/etc/pam.d/common-password redhat和centos的配置文件在/etc/pam.d/sys-auth)
我的规则是这样的：

password required  pam_passwdqc.so min=disabled,disabled,12,8,8 max=30 passphrase=3 match=4 similar=deny enforce=everyone disable_firstupper_lastdigit_check

规则解释如下：
1）只包含一种字符的密码，拒绝（大小写，数字，特殊字符分别为4种字符）
2）只包含两种字符的密码，拒绝
3）如果密码中被识别出了常用的单词，那么最小长度就必须为12位。常用单词的最小识别长度为3.(由passphrase=3制定)
4）包含三种字符的密码，最小长度为8位
5) 包含四种字符的密码，最小长度为8位
6）如果发现本次修改的密码跟老密码有4个substring的长度类似，就认为是弱密码。（match=4 similar=deny)
7) 这个策略对所有用户都生效。（en