[보안] 비밀번호 장기간 미변경 계정 존재 & 비밀번호 유추가능

[Unix-보안] 비밀번호 장기간 미변경 계정 존재 & 비밀번호 유추가능

 

 

시스템의 계정과 비밀번호는 반드시 안전하게 보호 필요

 

■ 취약점

    - 비밀번호를 장기간 변경하지 않고 사용하면, 외부에 노출될 가능성이 증가

    - 비밀번호가 추측하기 쉽게 설정되어 있으면, 해커에 의해 도용될 위협이 존재

 

 

■ 조치방법

    - 비밀번호를 최소 8자 이상 영어+숫자+특수문자를 혼합하여 변경

       1) $ passwd [계정명

       2) $ 비밀번호 설정

 

    - 비밀번호의 변경 기간 설정 및 기타 설정

 

    - /etc/security/user 파일 안의 파라미터들을 아래 설명을 참고하여 정책에 맞추어 적절히 설정

       1) $ vi /etc/security/user

default:
SYSTEM = "compat"
logintimes =               ← login 할 수 있는 시간
pwdwarntime = 0         ← 비밀번호 변경 몇일전부터 경고메시지 출력
account_locked = false  ← 계정 lock 여부
loginretries = 0            ← login 실패 횟수 정의
histexpire = 0              ← 최근 일정기간전에 사용했던 비밀번호 사용금지
histsize = 0                 ← 일정횟수이전에 사용했던 비밀번호 사용금지
minage = 0                 ← 비밀번호 변경 최소기간
maxage = 0                ← 비밀번호 변경 최대기간
maxexpired = -1          ← 기간내 비밀번호 미변경시 유예기간
minalpha = 0              ← 비밀번호에 포될 최소 알파벳수
minother = 0              ← 비밀번호에 포될 최소 문자수
minlen = 8                 ← 비밀번호 최소길이
maxrepeats = 8           ← 같은 단어 반복 금지 갯수