Linux: Com configurar la configuració predeterminada denvelliment de la contrasenya per a comptes nous

Si esteu gestionant un sistema Linux, una de les tasques que haureu de fer és gestionar les contrasenyes de configuració dels comptes d'usuari. Com a part d'aquest procés, probablement haureu de gestionar la configuració dels comptes existents i nous.

La gestió de la configuració de la contrasenya dels comptes existents es fa mitjançant l'ordre "passwd", encara que hi ha altres alternatives. Tanmateix, podeu establir la configuració predeterminada per als comptes que es crearan en el futur, estalviant-vos de canviar manualment els valors predeterminats per a cada compte nou.

La configuració es configura al fitxer de configuració "/etc/login.defs". Com que el fitxer es troba al directori "/etc", necessitarà permisos de root per editar-lo. Per evitar problemes en què feu canvis i no els pugueu desar perquè no teniu permisos, assegureu-vos que inicieu el vostre editor de text preferit amb sudo.

La secció que voleu es troba prop de la meitat del fitxer i es titula "Controls d'envelliment de la contrasenya". Hi ha tres configuracions, "PASS_MAX_DAYS", "PASS_MIN_DAYS" i "PASS_WARN_AGE". S'utilitzen, respectivament, per establir quants dies pot ser vàlida una contrasenya abans de restablir-la, quants dies després d'un canvi de contrasenya es pot fer una altra i quants dies rebi l'avís a un usuari abans que caduqui la seva contrasenya.

Els valors predeterminats per als controls d'envelliment de contrasenyes es poden trobar i configurar al fitxer "/etc/login.defs".

El valor predeterminat de "PASS_MAX_DAYS" és 99999, que s'utilitza per indicar que les contrasenyes no han de caducar automàticament. El valor predeterminat de "PASS_MIN_DAYS" és 0, cosa que significa que els usuaris poden canviar la seva contrasenya tantes vegades com vulguin.

Consell: un límit mínim d'antiguitat de la contrasenya es combina normalment amb un mecanisme d'historial de contrasenyes per evitar que els usuaris canviïn la seva contrasenya i després la tornin a canviar immediatament al que era abans.

El valor predeterminat de "PASS_WARN_AGE" és set dies. Aquest valor només s'utilitza si la contrasenya d'un usuari està realment configurada per caducar.

Com configurar la configuració predeterminada d'envelliment de la contrasenya per als comptes nous

Si voleu configurar aquests valors perquè les contrasenyes caduquin automàticament cada 90 dies, s'aplica una edat mínima d'un dia i s'adverteix als usuaris 14 dies abans que caduquin, hauríeu d'establir els valors "90", "1" i " 14” respectivament. Un cop hàgiu fet els canvis que voleu, deseu el fitxer. Qualsevol compte nou que es creï després d'actualitzar el fitxer s'aplicarà per defecte a la configuració que hàgiu configurat.

Els valors "90", "1" i "14" respectivament configuren les contrasenyes perquè caduquin automàticament cada 90 dies, es canviïn com a màxim una vegada al dia i avisen als usuaris que la seva contrasenya s'ha de canviar catorze dies abans que caduqui.

Nota: tret que les polítiques ho obliguin, hauríeu d'evitar configurar les contrasenyes perquè caduquin automàticament amb el temps. El NCSC, el NIST i la comunitat de ciberseguretat més àmplia recomanen ara que les contrasenyes només caduquin quan hi hagi una sospita raonable que s'han vist compromeses. Això es deu a la investigació que ha demostrat que els restabliments obligatoris regulars de contrasenyes empenyen activament els usuaris a triar contrasenyes més febles i més formulades que siguin més fàcils d'endevinar. Quan els usuaris no es veuen obligats a crear i recordar regularment una contrasenya nova, són millors a l'hora de crear contrasenyes més llargues, més complexes i, en general, més fortes.