【安全配置规范】禁止使用历史口令

【特性描述】
频繁使用相同的历史口令容易造成口令泄露而被攻击者攻击。为了用户账号的安全，需要配置“禁用历史口令”功能。根据业务实际场景，合理的设置禁用历史口令次数，但不得小于5次。

openEuler默认要求新设定的口令，不能修改为过去5次使用过的旧口令。
【检查方法】

/etc/pam.d/system-auth和/etc/pam.d/password-auth都各自提供该功能项的配置，不同应用程序或者服务对应的配置项，需根据各自include的配置文件而定。

- 在/etc/pam.d/system-auth文件中检查“禁用历史口令”的配置情况，检查配置remember值是否不小于5：

```
  # grep pam_pwhistory /etc/pam.d/system-auth
  password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_root
  ```

- 在/etc/pam.d/password-auth文件中检查“禁用历史口令”的配置情况，检查配置remember值是否不小于5：

```
  # grep pam_pwhistory /etc/pam.d/password-auth
  password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_root
  ```

【修复方法】

“禁用历史口令”的设置可以通过修改/etc/pam.d/password-auth和/etc/pam.d/system-auth文件实现。

- 在/etc/pam.d/system-auth文件配置如下字段：

```
# vim /etc/pam.d/system-auth
password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_root
```

- 在/etc/pam.d/password-auth文件配置如下字段：

```
# vim /etc/pam.d/password-auth
password    required      pam_pwhistory.so use_authtok remember=5 enforce_for_root
```

pam_pwhistory.so配置项参数字段说明如下表：

| **配置项**       | **说明**                            |
| ---------------- | ----------------------------------- |
| remember=5       | 口令不能修改为过去5次使用过的旧口令 |
| enforce_for_root | 本设置对root账号同样有效            |

src-openEuler/pam

内容风险标识

评论 (1)

src-openEuler/pam .gitee-modal { width: 500px !important; }

内容风险标识