pam_cracklib是linux系統(tǒng)中用于檢查密碼復(fù)雜度的pam模塊，通過配置其參數(shù)可提升系統(tǒng)安全性。它依賴cracklib庫判斷密碼強度，常用于/etc/pam.d/system-auth或common-password文件中。關(guān)鍵參數(shù)包括retry（允許嘗試次數(shù)）、minlen（最小長度）、ucredit（大寫字母數(shù)）、lcredit（小寫字母數(shù)）、dcredit（數(shù)字?jǐn)?shù)）和ocredit（特殊字符數(shù)），均建議設(shè)為負(fù)值以強制滿足條件。例如設(shè)置password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1可要求密碼至少10位并包含各類字符。測試時可使用passwd命令或cracklib-check工具驗證配置是否生效。需注意模塊路徑、策略沖突、緩存問題及避免過度限制用戶。
在linux系統(tǒng)中，配置用戶密碼復(fù)雜度是保障系統(tǒng)安全的重要一環(huán)。很多人可能知道可以通過PAM模塊來實現(xiàn)，但具體怎么操作、參數(shù)如何設(shè)置卻不太清楚。其實，使用pam_cracklib模塊就可以很方便地對用戶設(shè)置的密碼進(jìn)行強度校驗。
什么是 pam_cracklib？
pam_cracklib 是 Linux PAM（Pluggable Authentication Modules）系統(tǒng)中的一個模塊，專門用來檢查密碼的復(fù)雜度是否符合要求。它依賴于 cracklib 這個庫來判斷密碼是否容易被破解。
這個模塊通常用于 /etc/pam.d/system-auth 或 /etc/pam.d/common-password 文件中，控制用戶修改密碼時的策略。
常見的配置行如下：
password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
每一項參數(shù)都有特定含義，下面會詳細(xì)說明。
常用參數(shù)及推薦設(shè)置
配置 pam_cracklib 的關(guān)鍵是理解各個參數(shù)的作用，并根據(jù)實際需求調(diào)整它們。以下是幾個關(guān)鍵參數(shù)：
- retry=N：允許用戶嘗試設(shè)置密碼的次數(shù)，例如 retry=3 表示最多試3次。
- minlen=N：密碼最小長度，建議至少設(shè)為8以上，更安全可設(shè)為10或12。
- ucredit=-N：大寫字母最少需要幾個，比如 -1 表示至少要有一個。
- lcredit=-N：小寫字母最少需要幾個。
- dcredit=-N：數(shù)字最少需要幾個。
- ocredit=-N：特殊字符（如!@#$%^&*）最少需要幾個。
舉個例子，如果希望密碼至少包含1個大寫、1個小寫、1個數(shù)字和1個特殊字符，并且總長度不小于10位，可以這樣設(shè)置：
password requisite pam_cracklib.so retry=3 minlen=10 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1
注意：這里的負(fù)號“-”很重要，表示必須滿足該條件；如果是正數(shù)，比如 ucredit=1，則表示最多允許出現(xiàn)1個大寫字母，這顯然不是我們想要的效果。
如何測試配置是否生效？
配置完成后，最直接的方式就是切換到普通用戶，執(zhí)行 passwd 命令修改密碼，看看是否能成功設(shè)置簡單密碼。
比如你輸入像 12345678 這樣的密碼，應(yīng)該會被拒絕。如果你設(shè)置了 minlen=10，那么輸入9位密碼也會失敗。
也可以使用一些工具輔助測試，比如安裝 libpam-cracklib 后，手動運行 cracklib-check 來驗證字典規(guī)則是否加載正確。
常見問題與注意事項
- 模塊路徑錯誤：確保系統(tǒng)中已經(jīng)安裝了 libpam-cracklib，否則會出現(xiàn)找不到模塊的問題。
- 多個密碼策略沖突：有些系統(tǒng)同時使用 pam_pwquality 模塊，可能會和 pam_cracklib 沖突，建議只保留其中一個。
- 舊密碼策略緩存：修改完配置后不一定立即生效，最好重啟服務(wù)或者重新登錄一次。
- 避免過于嚴(yán)格的限制：雖然提高安全性很重要，但太復(fù)雜的規(guī)則可能導(dǎo)致用戶記不住密碼，反而用便簽紙記錄，帶來新的安全隱患。
總的來說，配置密碼復(fù)雜度并不是什么高難度任務(wù)，關(guān)鍵是理解每個參數(shù)的含義，并結(jié)合實際場景合理設(shè)置。只要把 /etc/pam.d/ 中的相關(guān)配置文件改對了，就能有效提升系統(tǒng)的賬戶安全水平。
基本上就這些。
