【安全配置规范】确保登录失败一定次数后锁定账号

【特性描述】
用户使用账号登录系统，如果连续登录失败一定次数后，系统会锁定该账号登录，即一定时间内不允许该账号继续登录，防止恶意的破解系统口令。账号锁定期间，任何输入被判定为无效，锁定时间不因用户的再次输入而重新计时；解锁后，错误输入记录被清空。通过上述设置可以有效防范口令暴力破解，增强系统的安全性。系统默认设定的连续登录失败次数为3次；登录失败后，默认锁定的时间为300s。

openEuler默认提供该项安全功能，用户应根据实际应用场景和需求，对默认的失败次数和锁定时间进行修改。
【检查方法】
- /etc/pam.d/system-auth和/etc/pam.d/password-auth分别提供该功能项的配置，不同应用程序或者服务对应的配置项，需根据各自include的配置文件而定：

```
  # grep system-auth /etc/pam.d/ -r
  /etc/pam.d/login:auth       substack     system-auth
  /etc/pam.d/login:account    include      system-auth
  /etc/pam.d/login:password   include      system-auth
  /etc/pam.d/login:session    include      system-auth
  /etc/pam.d/sudo:auth       include      system-auth
  /etc/pam.d/sudo:account    include      system-auth
  /etc/pam.d/sudo:password   include      system-auth
  /etc/pam.d/sudo:session    include      system-auth-su
  ```

以上只列举部分显示结果，从以上结果可知，login和sudo的账号认证采用/etc/pam.d/system-auth文件中的配置。

后续以/etc/pam.d/system-auth为例进行说明。

- 在/etc/pam.d/system-auth文件中检查“连续失败登录次数”的配置情况：

```
  # grep deny /etc/pam.d/system-auth
  auth  required  pam_faillock.so preauth audit deny=3 even_deny_root unlock_time=300
  auth  [default=die] pam_faillock.so authfail audit deny=3 even_deny_root unlock_time=300
  auth  sufficient  pam_faillock.so authsucc audit deny=3 even_deny_root unlock_time=300
  auth      required   pam_deny.so
  password  required   pam_deny.so
  ```

- 在/etc/pam.d/system-auth文件中检查“锁定时间”的配置情况：

```
  # grep unlock_time /etc/pam.d/system-auth
  auth  required  pam_faillock.so preauth audit deny=3 even_deny_root unlock_time=300
  auth  [default=die] pam_faillock.so authfail audit deny=3 even_deny_root unlock_time=300
  auth  sufficient  pam_faillock.so authsucc audit deny=3 even_deny_root unlock_time=300
  ```

src-openEuler/pam

内容风险标识

评论 (1)

src-openEuler/pam .gitee-modal { width: 500px !important; }

内容风险标识