Парольная защита

Добрый день форумчане!

Я unixlike системами общаюсь не долго, поэтому строго не судити за возможно туаой вопрос, но все же...

Задача вроде бы самая жизненная и тривиальная - настроить парольную защиту на RHEL, следующим образом: минимальная/максимальная длина пароля, неповторяемость, срок действия пароля и т.д.

Прочитав много всякого в сети я выяснил, что :
1. Настройка сроков действия паролей на RHEL и не только, делается в файле /etc/login.defs, вот тому подтверждение

-----------------------------------------------СОДЕРЖИМОЕ ФАЙЛА, ОТНОСИТЕЛЬНО НАСТРОЕК СРОКОВ ДЕЙСТВИЯ ПАРОЛЯ---------------------------------------------------------
# Password aging controls:
#
# PASS_MAX_DAYS Maximum number of days a password may be used.
# PASS_MIN_DAYS Minimum number of days allowed between password changes.
# PASS_WARN_AGE Number of days warning given before a password expires.
#
PASS_MAX_DAYS 99999
PASS_MIN_DAYS 0
PASS_WARN_AGE 7
---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------

При этом, в этом же файле /etc/login.defs ниже сказано, что некоторые опции в настоящее время регулируются PAM модулями (соотвественно эти опции перечислены ниже)
Туда ка видно входят необходимые мне опция PASS_MAX_LEN и PASS_MIN_LEN.

ОК. Все понятно нужно настроить модуль PAM . В случае с RHEL необходимо отредактировать файл /etc/pam.d/system-auth, (в Ubuntu например это файл /etc/pam.d/common-password)

################# OBSOLETED BY PAM ##############
# #
# These options are now handled by PAM. Please #
# edit the appropriate file in /etc/pam.d/ to #
# enable the equivelants of them.
#
###############
#MOTD_FILE
#DIALUPS_CHECK_ENAB
#LASTLOG_ENAB
#MAIL_CHECK_ENAB
#OBSCURE_CHECKS_ENAB
#PORTTIME_CHECKS_ENAB
#SU_WHEEL_ONLY
#CRACKLIB_DICTPATH
#PASS_CHANGE_TRIES
#PASS_ALWAYS_WARN
#ENVIRON_FILE
#NOLOGINS_FILE
#ISSUE_FILE
#PASS_MIN_LEN
#PASS_MAX_LEN

ОК. Все понятно нужно настроить модуль PAM . В случае с RHEL необходимо отредактировать файл /etc/pam.d/system-auth, (в Ubuntu например это файл /etc/pam.d/common-password)

Как написано практически везде необходимо добавить строку или отредактировать ее следующим образом:

password requisite pam_cracklib.so try_first_pass retry=3 minlen=3 maxlen=10

Здесь я думаю все понятно.

После выполнения описанныйх мной манипуляций, я пытаюсь изменить пароль пользователя (не root) например на "12qw" но система мне не дает и пишет, что пароль слишком короткий!

В чем дело, что я пропустил.

Помогите пожалуйста разобраться!

На сколько я помню ограничение на минимальную длину пароля жёстко заложено в коде. Короткий пароль может устанавливать только рут.

По поводу жестко привязки не знаю, но в моем случае, при смене, длина которого превышает указанный мной параметр maxlen=10 не несколько символов...система никак не ругается и меняет пароль.....я вообще ничего не понимаю....где вообще настроить парольную защиту!???

Может тебе надо редактировать /etc/pam.d/password-auth?

vadoz написал:

После выполнения описанныйх мной манипуляций, я пытаюсь изменить пароль пользователя (не root) например на "12qw" но система мне не дает и пишет, что пароль слишком короткий!
В чем дело, что я пропустил.

все описанные вами ограничения работают поверх основной защиты, и нужны для того, что-бы администратор мог ужесточить политику безопасности. Потому задавать пароли вроде 123 может исключительно только root.

vadoz написал:

По поводу жестко привязки не знаю, но в моем случае, при смене, длина которого превышает указанный мной параметр maxlen=10 не несколько символов...система никак не ругается и меняет пароль.....я вообще ничего не понимаю....где вообще настроить парольную защиту!???

вообще-то в тех файлах прописаны умолчания для новых юзеров, которые действуют в тех случаях, когда администратор явно не указал каких-то других ограничений. Т.е. на существующих юзеров это и не должно действовать.

Описание парольной защиты с использованием pam_cracklib (правда на английском) http://www.deer-run.com/~hal/sysadmin/pam_cracklib.html

Тогда возникает вопрос, а как проверить у уже зарегестрированных в системе пользователей установленную длину пароля?

vadoz написал:

Тогда возникает вопрос, а как проверить у уже зарегестрированных в системе пользователей установленную длину пароля?

никак. Можно узнать, какая у них разрешённая максимальная длинна. Наверное. Я никогда так не делал.