Linux: Cách Định cấu hình Cài đặt Lão hóa Mật khẩu Mặc định cho Tài khoản Mới

Nếu bạn đang quản lý hệ thống Linux, một trong những nhiệm vụ bạn có thể phải làm là quản lý mật khẩu cài đặt cho tài khoản người dùng. Là một phần của quá trình này, bạn có thể sẽ cần quản lý cài đặt cho cả tài khoản hiện tại và tài khoản mới.

Việc quản lý cài đặt mật khẩu cho các tài khoản hiện có được thực hiện thông qua lệnh "passwd", mặc dù có các lựa chọn thay thế khác. Tuy nhiên, bạn có thể đặt cài đặt mặc định cho các tài khoản sẽ được tạo trong tương lai, giúp bạn không phải thay đổi cài đặt mặc định theo cách thủ công cho từng tài khoản mới.

Các cài đặt được định cấu hình trong tệp cấu hình “/etc/login.defs”. Vì tệp nằm trong thư mục “/ etc”, nó sẽ yêu cầu quyền root để chỉnh sửa. Để tránh bất kỳ sự cố nào mà bạn thực hiện các thay đổi sau đó không thể lưu chúng vì bạn không có quyền, hãy đảm bảo rằng bạn khởi chạy trình soạn thảo văn bản ưa thích của mình với sudo.

Phần bạn muốn nằm gần giữa tệp và có tiêu đề “Kiểm soát lão hóa mật khẩu”. Trong đó có ba cài đặt, “PASS_MAX_DAYS”, “PASS_MIN_DAYS” và “PASS_WARN_AGE”. Tương ứng, những điều này được sử dụng để đặt mật khẩu có thể có giá trị trong bao nhiêu ngày trước khi cần được đặt lại, bao lâu sau khi một mật khẩu thay đổi một mật khẩu khác có thể được thực hiện và bao nhiêu ngày cảnh báo người dùng trước khi mật khẩu của họ hết hạn.

Bạn có thể tìm và định cấu hình các giá trị mặc định cho các kiểm soát lão hóa mật khẩu trong tệp “/etc/login.defs”.

“PASS_MAX_DAYS” mặc định là 99999 được sử dụng để chỉ ra rằng mật khẩu sẽ không tự động hết hạn. “PASS_MIN_DAYS” được mặc định là 0, có nghĩa là người dùng có thể thay đổi mật khẩu của họ thường xuyên nếu họ muốn.

Mẹo: Giới hạn tối thiểu về độ tuổi mật khẩu thường được kết hợp với cơ chế lịch sử mật khẩu để ngăn người dùng thay đổi mật khẩu của họ và sau đó ngay lập tức thay đổi lại mật khẩu cũ.

“PASS_WARN_AGE” mặc định là bảy ngày. Giá trị này chỉ được sử dụng nếu mật khẩu của người dùng thực sự được định cấu hình hết hạn.

Cách định cấu hình cài đặt lão hóa mật khẩu mặc định cho tài khoản mới

Nếu bạn muốn định cấu hình các giá trị này để mật khẩu tự động hết hạn sau mỗi 90 ngày, thì độ tuổi tối thiểu là một ngày sẽ được áp dụng và người dùng được cảnh báo 14 ngày trước khi hết hạn, bạn nên đặt các giá trị “90”, “1” và “ 14 ”tương ứng. Khi bạn đã thực hiện các thay đổi mình muốn, hãy lưu tệp. Bất kỳ tài khoản mới nào được tạo sau khi bạn cập nhật tệp sẽ có cài đặt bạn đã định cấu hình được áp dụng cho nó theo mặc định.

Các giá trị “90”, “1” và “14” tương ứng, định cấu hình mật khẩu để tự động hết hạn sau mỗi 90 ngày, được thay đổi nhiều nhất một lần mỗi ngày và cung cấp cho người dùng cảnh báo rằng mật khẩu của họ cần được thay đổi mười bốn ngày trước khi hết hạn.

Lưu ý: Trừ khi được chính sách yêu cầu, bạn nên tránh cấu hình mật khẩu tự động hết hạn theo thời gian. NCSC, NIST và cộng đồng an ninh mạng rộng lớn hơn hiện khuyến nghị rằng mật khẩu chỉ hết hạn khi có nghi ngờ hợp lý rằng chúng đã bị xâm phạm. Điều này là do nghiên cứu đã chỉ ra rằng việc đặt lại mật khẩu bắt buộc thường xuyên sẽ thúc đẩy người dùng chọn mật khẩu yếu hơn và có công thức hơn, dễ đoán hơn. Khi người dùng không bị buộc phải thường xuyên tạo và ghi nhớ mật khẩu mới, họ sẽ tốt hơn trong việc tạo mật khẩu dài hơn, phức tạp hơn và nói chung là mạnh hơn.