Contraseñas de Linux: cómo obligar a un usuario a restablecer su contraseña

Si administra una máquina Linux con varios usuarios, es posible que ocasionalmente desee o necesite que un usuario cambie su contraseña. La causa más probable de este requisito es un escenario de uso por primera vez. Otras posibles razones para cambiar una contraseña, como que un usuario la olvide, que la contraseña se vea comprometida o un ciclo regular obligatorio de contraseña, realmente no funcionan con el concepto de caducidad manual de la contraseña.

Cuando una contraseña de Linux caduca, el usuario debe cambiarla la próxima vez que inicie sesión. Si un usuario ha olvidado su contraseña, nunca podrá iniciar sesión y luego cambiar su contraseña. Si la contraseña de un usuario se ve comprometida, debe cambiarse de inmediato; caducarlo corre el riesgo de que el pirata informático inicie sesión en la cuenta primero y luego pueda establecer la contraseña en cualquier valor. Si tiene una política de requerir restablecimientos regulares de contraseña, esto debe administrarse automáticamente estableciendo una antigüedad máxima de contraseña en lugar de caducarlas manualmente.

Nota: Idealmente, ya no debería caducar las contraseñas con regularidad, el NCSC y el NIST, así como la comunidad de ciberseguridad en general, han cambiado su orientación pública debido a una investigación que mostró que hacerlo hace que las personas sean más propensas a elegir contraseñas débiles y formuladas. La guía ahora es hacer que los usuarios solo cambien las contraseñas cuando exista una sospecha razonable de que la contraseña ha sido comprometida. Al no obligar a los usuarios a recordar nuevas contraseñas con regularidad, es más probable que creen y recuerden una contraseña más larga, compleja y segura.

Cuando crea una cuenta para un usuario por primera vez, normalmente se crea con una contraseña temporal. Luego, el usuario debe cambiar esta contraseña por algo que pueda recordar la primera vez que inicie sesión.

Cómo forzar la expiración de una contraseña

Para marcar una contraseña como "caducada" y obligar al usuario a cambiar su contraseña la próxima vez que inicie sesión, debe utilizar el comando "passwd" junto con la bandera "-e". El indicador "-e" expira inmediatamente la contraseña de una cuenta, lo que los obligará a cambiar su contraseña la próxima vez que inicien sesión.

El comando completo sería "sudo passwd -e [nombre de usuario]". Se requiere sudo ya que el comando requería permisos de root para ejecutarse.

El comando “sudo passwd -e [nombre de usuario]” ​​expira inmediatamente la contraseña del usuario especificado, lo que los obliga a cambiarla la próxima vez que inicien sesión.

La seguridad de las contraseñas es increíblemente importante, y no solo en una máquina con Windows; asegúrese de cambiar con frecuencia sus contraseñas (y las de otros usuarios), para que nadie pueda obtener acceso no autorizado a sus cuentas.