Защита

папки и файлы, однако это не требуется и может привести к нежелательным результатам. Изменения прав для родительской папки достаточно для предотвращения неавторизованного доступа ко всему её содержимому.

Гораздо более эффективным подходом к вопросу будет изменение глобальных полномочий по умолчанию на создание пользовательских домашних каталогов для adduser. Просто откройте файл /etc/adduser.conf и измените переменную DIR_MODE на что-нибудь подходящее, и на все новые домашние каталоги будут устанавливаться корректные права доступа.

DIR_MODE=0750

•После изменения прав доступа к папке с использованием любого из ранее показанных способов, проверьте результат, используя следующий синтаксис:

ls -ld /home/username

Результаты ниже показывают, что полномочия на чтение для всех были удалены:

1.4. Политики паролей

Хорошая политика паролей — это один из наиболее важных аспектов состояния безопасности. Для многих успешных взломов против слабых паролей использовался простой брутфорс и перебор по словарю. Если вы планируете предоставить любой вид удалённого доступа с использованием локальной системы паролей, убедитесь, что вы в достаточной мере обдумали требования к минимально сложности пароля, максимальному сроку его жизни и частоте аудита ваших систем аутентификации.

1.4.1. Минимальная длина пароля

По умолчанию Ubuntu требует минимальную длину пароля в 6 символов, также выполняет некоторые базовые проверки энтропии. Эти параметры управляются файлом /etc/pam.d/common-password и приведены ниже:

Если вы хотите установить минимальную длину в 8 символов, измените соответствующую переменную на min=8. Изменения приведены ниже:

175

Защита

Базовые проверки на качество (энтропию) и минимальную длину пароля не применяются к администратору, использующему команды уровня sudo для настройки нового пользователя.

1.4.2. Истечение срока действия пароля

При создании пользовательских учётных записей вам следует сделать политику минимального и максимального срока действия пароля, принуждая пользователей менять их пароли при истечении срока.

•Чтобы просмотреть текущее состояние пользовательской учётной записи, используйте следующий синтаксис:

sudo chage -l username

Листинг ниже демонстрирует интересные факты о пользовательской учётной записи, а именно, что не применены никакие политики:

Последнее изменение пароля: 20 января 2008 года Действие пароля заканчивается: никогда Пароль становится неактивным: никогда Действие аккаунта заканчивается: никогда

Изменение пароля возможно, если прошло не менее (указывается количество дней): 0 Изменение пароля возможно, если прошло не более (указывается количество дней): 99999 Количество дней, за которое высвечиватся предупреждение об истечении действия пароля: 7

•Чтобы установить любой из этих параметров, просто воспользуйтесь следующей командой и следуйте указаниям:

sudo chage username

Ниже показан пример того, как вы можете вручную изменить дату завершения действия пароля (-E) на 01/31/2008, минимальное время действия пароля (-m) 5 дней, максимальное время действия 90 дней, период бездействия (-l) 5 дней по окончанию срока действия пароля и период предупреждения (-W) на 14 дней до завершения действия пароля.

sudo chage -E 01/31/2011 -m 5 -M 90 -I 30 -W 14 username

•Чтобы проверить изменения, воспользуйтесь способом, применявшимся ранее:

sudo chage -l username

Листинг ниже показывает новые политики, установленные для учётной записи:

176