口令安全

/ns/wz/sys/data/20061218231419.htm

　口令可以说是系统的第一道防线，目前网络上大部分的系统入侵都是从猜测口令或者截获口令开始的，所以口令安全至关重要。

　　首先要杜绝不设口令的帐号存在。这可以通过查看/etc/passwd文件来发现。例如，存在用户名为test的帐号，没有设置口令，则在/etc/passwd文件中就有如下一行：test::100:9::/home/test:/bin/bash 其第二项为空，说明test这个帐号没有设置口令，这是非常危险的！应将该类帐号删除或者设置口令。

　　其次，在旧版本的linux中，在/etc/passwd文件中是包含有加密的密码的，这就给系统的安全性带来了很大的隐患，最简单的方法就是可以用暴力破解的方法来获得口令（如，用John等工具）。可以使用命令/usr/sbin/pwconv或者/usr/sbin/grpconv来建立/etc/shadow或者/etc/gshadow文件，这样在/etc/passwd文件中不再包含加密的密码，而是放在/etc/shadow文件中，该文件只有超级用户root可读！

　　第三点是修改一些系统帐号的Shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，一定不要给他们设置/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd中将它们的Shell变量置空，例如设为/bin/false或者/dev/null等，也可以使用usermod -s /dev/null username命令来更改username的Shell为/dev/null。这样使用这些帐号将无法Telnet远程登录到系统中来！

　　第四点是修改缺省的密码长度：在你安装linux时默认的密码长度是5个字节。但这并不够，要把它设为8。修改最短密码长度需要编辑login.defs文件（vi/etc/login.defs），把下面这行

　　PASS_MIN_LEN 5
　　改为
　　PASS_MIN_LEN 8

　　login.defs文件是login程序的配置文件。

　　最后别忙了为root加上一个强壮的密码，8位以上，最好包含特殊字符。

　　三、登录安全

　　1、自动注销帐号的登录，在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi /etc/profile）,在"HISTFILESIZE="后面加入下面这行：

　　TMOUT=300

　　300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的“.bashrc”文件中添加该值.

　　改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。

　　2、使用PAM（可插拔认证模块）禁止任何人通过su命令改变为root用户su(Substitute


=========================
文章类型:转载 提交:siky 核查:NetDemon