[U-02] 패스워드 복잡성 설정

 

 

 

안녕들 하시죠 !

 

이번시간에는 Linux 취약점 진단 '패스워드 복잡성 설정'에 대해 알아보겠습니다.

 

1. 계정관리 > 1.2 패스워드 복잡성 설정 U-02 ( 상 )

 

1.2.1 점검내용 

 

ㆍ 시스템 정책에 사용자 계정 ( root 및 일반 계정 모두 해당 ) 패스워드 복잡성 관련 설정이 되어 있는지 점검

 

1.2.2 점검목적

 

ㆍ 패스워드 복잡성 관련 정책이 설정되어 있는지 점검하여 비인가자의 공격 ( 무작위 대입 공격, 사전 대입 공격 등 ) 에 대비가 되어 있는지 확인하기 위함

 

1.2.3 보안위협

 

ㆍ 패스워드 복잡성 설정이 되어 있지 않은 사용자 계정 패스워드 존재 시 비인가자가 각종 공격 ( 무작위 대입 공격, 사전 대입 공격 등 )을 통해 취약한 패스워드가 설정된 사용자 계정의 패스워드를 획득하여 획득한 사용자 계정정보를 통해 해당 사용자 계정의 시스템에 접근할 수 있는 위험이 존재함

 

1.2.4 판단기준

 

ㆍ 양호 : 영문, 숫자, 특수문자를 조합하여 2종류 조합 시 10자리 이상, 3종류 이상 조합 시 8자리 이상의 패스워드가 설정된 경우 ( 공공기관 9자리 이상 )

ㆍ 취약 : 영문, 숫자, 특수문자를 조합하지 않거나 2종류 조합 시 10자리 미만, 3종류이상 조합 시 8자리 미만의 길이가 패스워드로 설정된 경우 ( 공공기관 9자리 미만 )

 

1.2.5 조치방법

 

ㆍ 계정과 유사하지 않은 8자 이상의 영문, 숫자, 특수문자의 조합으로 암호 설정 및 패스워드 복잡성 옵션 설정

 

Step 2) /etc/pam.d/system-auth

 

 

수정 전)

 

 

수정 후)

 

 

 

 

 

Step 3) /etc/login.defs

 

 

수정 전)

 

 

PASS_MAX_DAYS : 비밀번호 사용가능 최대 기간

PASS_MIN_DAYS : 비밀번호를 변경하고 다시 변경할 때까지 최소 기간

PASS_MIN_LEN : 비밀번호 최소 길이

PASS_WARN_AGE : 비밀번호 만료 경고를 알리는 기간

 

수정 후)