Passwortrichtlinien

Eine eigene Passwortrichtlinie schützt das System vor der Verwendung schwacher Passwörter. Legen Sie Länge und Komplexität der verwendeten Benutzerpasswörter fest und beachten Sie die nachfolgenden Empfehlungen:

Zum Definieren einer Passwortrichtlinie bearbeiten Sie die Datei /etc/pam.d/passwd wie folgt:

sudo nano /etc/pam.d/passwd

Fügen Sie je nach Anforderung einen Eintrag für das Modul pam_passwdqc hinzu oder passen Sie einen vorhandenen Eintrag entsprechend an. Eine mögliche Konfiguration ist beispielsweise:

password    requisite    pam_passwdqc.so min=disabled,disabled,disabled,disabled,10 similar=deny retry=3 en-force=users

@include common password

Ist bereits ein entsprechender Eintrag für pam_passwdqc vorhanden, passen Sie diesen an und fügen Sie keinen zweiten Eintrag hinzu. Bereits vorhandene PAM-Zeilen zur eigentlichen Passwortverarbeitung dürfen nicht entfernt werden.

Hinter pam_passwdqc.so können für den Parameter mindestens fünf Werte gesetzt werden. Diese fünf Werte stehen für vordefinierte Passwortkategorien. Jede Position kann entweder mit disabled deaktiviert oder mit einer Zahl für die geforderte Mindestlänge belegt werden. Die Positionen stehen für folgende Passwortkategorien:

• Passwörter aus einer Zeichenklasse, d. h. Passwörter, die nur aus Zahlen oder nur aus Klein- oder Großbuchstaben bestehen;
• Passwörter aus zwei Zeichenklassen, d. h. Passwörter, die beispielsweise aus Klein- und Großbuchstaben bestehen;
• Passphrasen, d. h. Aneinanderreihungen von Zeichenketten, die durch Leerzeichen voneinander getrennt sein können;
• Passwörter aus drei Zeichenklassen, beispielsweise aus Klein- und Großbuchstaben sowie Zahlen;
• Passwörter aus vier Zeichenklassen, d. h. aus Klein- und Großbuchstaben sowie Zahlen und Sonderzeichen.

Das dargestellte Beispiel erlaubt somit nur Passwörter, die aus allen vier Zeichenklassen bestehen und mindestens 10 Zeichen lang sind.

Der Parameter similar=deny legt fest, dass das neue Passwort dem bisherigen Passwort nicht ähneln darf. Der Parameter retry=3 bestimmt, wie oft ein Benutzer zur Eingabe eines neuen Passworts aufgefordert wird, wenn das gewählte Passwort die Anforderungen der Passwortrichtlinie nicht erfüllt. Mit enforce=users wird die Richtlinie für Benutzerkonten verbindlich angewendet.