[정보보안] Unix/Linux_계정 관리

사용자 계정 관련 정책 

관련 파일 : /etc/login.defs 

항목		기본 값	변경 후
패스워드 만료 경고	PASS_WARN_AGE	7	15
패스워드 최대 사용 기간	PASS_MAX_DAYS	99999	90
패스워드 최소 사용 기간	PASS_MIN_DAYS	0	1
패스워드 최소 길이	PASS_MIN_LEN	5	9

---

사용자 계정 관련 정책 적용 후 계정 상태 확인

관련 파일 : /etc/shadow 

 

<변경 전의 계정목록 >

 - 기본 값을 변경하고, 기존 계정에 대해서 패스워드를 새로 설정하더라도 login.defs 에서 설정한 값들이 변경되지 않음 

qwer:$1$hSsoK9do$zr1MuK0TenmjD.6C5/Naq.:19265:0:99999:7:::

<변경 후의 생성계정 목록 >

test1:$1$PwkD9x4f$8mkeVC5yy9.X1lhgr9F9L1:19317:1:90:15:::

 

< /etc/shadow 파일의 각 필드 설명 >

 

 - test : 사용자 계정명

 - $1$ PwkD9x4f $8mkeVC5yy9.X1lhgr9F9L1 :  암호화된 패스워드

        ※ $1$ → MD5

        ※ $2$ → BlowFish

        ※ $5$ → SHA-256

        ※ $6$ → SHA-512

        ※ PwkD9x4f → Salt Value

        ※ 8mkeVC5yy9.X1lhgr9F9L1 → Encryption Algorithm + Salt + Password => Encryption Password 

        ※ * : 패스워드가 잠긴 상태이며, 로그인이 불가능한 상태이고, 별도의 인증방식을 사용하여 로그인 가능

        ※ ! : 패스워드가 잠긴 상태이며, 로그인이 불가능한 상태이거나, 사용자를 생성하고 패스워드를 설정하지 않은 상태 

 - 19317 : 마지막으로 패스워드를 변경한 날짜 ( 1970.01.01 기준 ) → 2022.11.22 까지 19317일 

 - 1 : 패스워드 최소 사용 기간

 - 90 : 패스워드 최대 사용 기간

 - 15 : 만료경고일 ( 2022.11.22 부터 90일까지 → 2023.02.19 되기 15일전 인 2023.02.04 부터 알림 발생 ) 

---

사용자 계정_패스워드 복잡성 설정

< 패스워드 복잡성 설정 >

 - retry : 재시도 횟수 

 - minlen = 12 : 최소 길이 < 12자리 >

 - ucredit = -1 : 최소 대문자 1자리 이상 설정

 - lcredit = -1 : 최소 소문자 1자리 이상 설정

 - dcredit = -1 : 최소 숫자 1자리 이상 설정

 - ocredit = -1 : 최소 특수문자 1자리 이상 설정

 

<RHEL 6 & CentOS 6버전 이하 >

관련 파일 : /etc/pam.d/system-auth 

관련 파일 : /etc/pam.d/password-auth

 

< /etc/pam.d/system-auth >

password    requisite     pam_cracklib.so try_first_pass retry=2 minlen=12 ucredit=-1 dcredit=-1 ocredit=-1 lcredit=-1
auth 		required	  pam_tally.so deny=5 unlock_time=120 no_magic_root

<RHEL 7 & CentOS 7버전 이상 >

관련 파일 : /etc/pam.d/system-auth

관련 파일 : /etc/security/pwquality.conf

 

< /etc/pam.d/system-auth >

password    requisite     pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type=

< /etc/security/pwquality.conf >

# /etc/security/pwquality.conf

difok = 5
minlen = 12
dcredit = -1
ucredit = -1
lcredit = -1
ocredit = -1

---

사용자 계정_임계값 설정 

< 패스워드 복잡성 설정 >

 - deny=5 : 연속 5번 실패시 계정 잠금

 - unlock_time=120 : 잠겼을 시 120초 동안 로그인 제한

 - no_magic_root  : root의 패스워드는 실패횟수를 기록 O / 단, 잠금을 실시하지 않음 

 - reset : 실패 횟수 안에서 로그인 성공시 실패 횟수 초기화

 

관련 파일 : /etc/pam.d/system-auth 

 

< /etc/pam.d/system-auth >

auth 		required	  pam_tally.so deny=5 unlock_time=120 no_magic_root reset