Gestione delle password

La password è il simbolo di identificazione più importante per il singolo utente. Con essa, il sistema autentica l'utente per consentirgli l'accesso. Dato che il loro uso, archiviazione, o riconoscimento le rende vulnerabili, le password devono essere tenute sempre segrete. Le sezioni seguenti descrivono le password con maggior dettaglio.

Responsabilità dell'amministratore di sistema

L'amministratore di sistema e tutti gli utenti devono condividere la responsabilità che riguarda la sicurezza delle password. L'amministratore di sistema esegue le seguenti procedure di sicurezza:

Controllare che tutti gli utenti abbiano la propria password.
Mantenere le autorizzazioni corrette di tutti i file di sistema, compresi file standard delle password e dei gruppi, /etc/passwd e /etc/group
Eliminare o annullare ID utente e password degli utenti che non hanno più i requisiti necessari per accedere al sistema.
Controllare che tutte le password delle applicazioni siano crittografate.
Controllare che le autorizzazioni in /var/adm/btmp e /var/adm/wtmp siano impostate nel modo appropriato.
Implementare le password da utilizzare una volta sola per l'accesso guest singolo.
Informare gli utenti delle loro responsabilità riguardo alla protezione delle password.
Usare la durata delle password per costringere gli utenti a modificare periodicamente la loro password.
Impedire il riutilizzo di password recenti.
Configurare gli attributi di protezione per tutto il sistema nel file /etc/default/security. Per ulteriori informazioni, consultare la Sezione e security(4)
Convertire il sistema in modo da utilizzare le password shadow. Per ulteriori informazioni, vedere la Sezione e consultare shadow(4) e pwconv(1M).

Responsabilità degli utenti

Tutti gli utenti devono osservare le seguenti regole:

Ricordare la password e tenerla sempre segreta.
Modificare immediatamente la password iniziale, quindi cambiarla periodicamente.
Riferire ogni variazione dello stato e tutte le possibili violazioni della sicurezza.
Assicurarsi che nessuno osservi la digitazione della password.

Criteri di una password valida

Nella scelta della password, osservare le seguenti linee guida e comunicarle agli utenti:

Scegliere una password che abbia almeno 6 e non più di 80 caratteri. I caratteri speciali possono comprendere caratteri di controllo e simboli, come l'asterisco e le barre. Nella modalità standard sono utilizzati solamente i primi otto caratteri.
Non scegliere parole che si trovano nei dizionari di qualsiasi lingua, anche se digitate al contrario. Esistono software in grado di individuarle.
Non scegliere una password facilmente associabile all'utente, come ad esempio nomi di familiari o animali domestici, o che riguardano i propri hobby.
Non utilizzare semplici sequenze di tasti, come ad esempio asdfghjkl, o ripetizioni del proprio nome di accesso (ad es., se è carla; la password carlacarla sarà inopportuna).
Le parole con errori ortografici o con sillabe combinate da due parole non correlate tra loro producono password appropriate. Un altro metodo comune consiste nell'utilizzare per la password i primi caratteri di una pubblicazione o di un'espressione preferita.
Considerare la possibilità di usare un generatore di password, che combina le sillabe per produrre un discorso senza senso ma pronunciabile.
Non condividere le password con altri utenti. I dirigenti amministrativi devono proibire la condivisione delle password.
Disporre sempre di una password. Evitare la cancellazione del proprio campo della password nel file /etc/passwd.

Modifica del file delle password /etc/passwd

Un sistema standard mantiene il file delle password: /etc/passwd.

Tutte le password sono crittografate immediatamente dopo l'immissione e archiviate nel file delle password, /etc/passwd. Per i confronti, è utilizzata solamente la password crittografata.

Seguire queste linee guida se si desidera modificare il file delle password:

Non consentire la presenza di alcun campo di password vuoto o nullo; si tratterebbe di una vulnerabilità della sicurezza. Un campo di password vuoto consente a qualsiasi utente di impostare la password per quell'account.
Non modificare direttamente il file delle password. Per modificare le voci del file delle password, usare HP SMH o i comandi useradd, userdel o usermod. Se è necessario modificare direttamente il file, usare il comando vipw e controllarlo con il comando pwck. Per ulteriori informazioni, vedere vipw(1M) e pwck(1M).

Esempi di comandi passwd

Quelli seguenti sono esempi utili del comando passwd:

Reimpostazione della password di un utente:
# passwd utente_1
Modifica forzata della password all'accesso successivo:
# passwd -f utente_1
Blocco o disabilitazione di un account:
# passwd -l utente_2
Abilitazione della scadenza della password:
# passwd -n 7 -x 28 utente_1
Controllo dello stato della scadenza della password di uno utente specifico:
# passwd -s utente
Controllo dello stato della scadenza della password di tutti gli utenti:
# passwd -sa

Formato del file /etc/passwd

Il file /etc/passwd è utilizzato per autenticare un utente al momento dell'accesso. Il file contiene una voce per ciascun account nel sistema HP-UX. Ciascuna voce comprende sette campi, separati da due punti. Una voce tipica di /etc/passwd ha il seguente aspetto:

robin:Z.yxGaSvxAXGg:102:99:Robin Hood,Rm 3,x9876,408-555-1234:/home/robin:/usr/bin/sh

I campi contengono le seguenti informazioni (elencate in ordine), separate da due punti:

robin – Nome (d'accesso) dell'utente, composto da un massimo di 8 caratteri.
Z.yxGaSvxAXGg – Campo della password crittografata.
102 – ID utente, un numero intero da 0 a MAXINT-1 (pari a 2.147.483.646 o 2³¹ -2).
99 – ID di gruppo, da /etc/group, un numero intero da 0 a MAXINT-1.
Robin Hood,Rm 3,x9876,408-555-1234 – Il campo Comment serve per identificare informazioni come nome completo dell'utente, la sua ubicazione ed il suo numero di telefono. Per ragioni storiche, si chiama anche campo gecos.
/home/robin – La directory home è la directory iniziale di accesso dell'utente.
/usr/bin/sh – Nome di percorso della shell d'accesso, eseguita quando l'utente esegue l'operazione.

L'utente può modificare la password eseguendo passwd, il campo del commento (quinto campo) con chfn e il nome di percorso del programma di accesso (settimo campo) con chsh. L'amministratore di sistema imposta i campi rimanenti. L'ID utente deve essere unico. Per ulteriori informazioni, vedere chfn(1), chsh(1), passwd(1) e passwd(4).

Il file per le password shadow /etc/shadow

L'aumento della potenza di elaborazione disponibile a chi desiderare decifrare dolosamente le password ha reso vulnerabili le password in chiaro nel file /etc/passwd.

Una password shadow incrementa la protezione del sistema, nascondendo le password crittografate in un file di password shadow. È possibile spostare le password crittografate, precedentemente memorizzate nel file /etc/passwd leggibile pubblicamente, nel file /etc/shadow, accessibile soltanto ad un utente con i privilegi appropriati.

Per abilitare, controllare e disabilitare le password shadow, utilizzare i comandi seguenti:

Il comando pwconv crea un file delle password shadow e copia le password crittografate dal file /etc/passwd al file /etc/shadow.
Il comando pwck controlla i file /etc/passwd e /etc/shadow, cercando eventuali incoerenze.
Il comando pwunconv copia le password crittografate e le informazioni sulla loro scadenza dal file /etc/shadow al file /etc/passwd, quindi elimina il file /etc/shadow.

Per ulteriori informazioni, vedere pwconv(1M), pwck(1M), pwunconv(1M) e shadow(4).

Si osservino i punti seguenti, relativi alla funzionalità delle password shadow.

Quando si abilitano le password shadow, potrebbero esserci conseguenze per le applicazioni che accedono in modo diretto al campo della password del file /etc/passwd per ottenere le informazioni sulle password e sulla loro scadenza. Quel campo conterrà una x, che segnala che le informazioni si trovano in /etc/shadow.
Le applicazioni che usano le interfacce PAM per l'autenticazione non saranno interessate.
Per accedere in modo programmatico al file /etc/shadow, usare le chiamate getspent(). Queste chiamate sono simili a quelle getpwent() per /etc/passwd. Per ulteriori informazioni, vedere getspent(3C) e getpwent(3C).
Nel file /etc/nsswitch.conf, le password shadow sono supportate dai servizi dei nomi files, NIS e LDAP, ma potrebbero non essere supportate dai backend di commutazione di altri server dei nomi. Per configurare il sistema in modo che utilizzi soltanto files, NIS e/o LDAP, accertarsi che la riga passwd in /etc/nsswitch.conf contenga soltanto files, NIS e/o LDAP. Se /etc/nsswitch.conf non esiste, o se la riga passwd non è presente, l'impostazione predefinita è soltanto files. Per ulteriori informazioni, consultare nsswitch.conf(4).
La password shadow è basata su uno standard di fatto, offerto da altri sistemi UNIX.

I seguenti attributi, definiti in /etc/default/security, si applicano alle password shadow. Per ulteriori informazioni, consultare la Sezione e la manpage security(4).

INACTIVITY_MAXDAYS – Numero di giorni che precedono la scadenza di un account inutilizzato.
PASSWORD_MINDAYS – Numero minimo di giorni prima che sia possibile cambiare la password.
PASSWORD_MAXDAYS – Numero massimo di giorni di validità della password.
PASSWORD_WARNDAYS – Numero di giorni prima che gli utenti ricevano il preavviso di scadenza della password.

Le password shadow sono supportate da questi prodotti:

Lightweight Directory Access Protocol (LDAP)
Ignite-UX Directory Access Control (LDAP)
Serviceguard

Le password shadow non sono supportate da quelle applicazioni che prevedono che le password si trovino in /etc/passwd.

Per ulteriori informazioni, consultare le seguenti manpage:

passwd(1), pwck(1M), pwconv(1M), pwunconv(1M), getspent(3C), putspent(3C), nsswitch.conf(4), passwd(4), security(4), shadow(4)

Eliminazione degli pseudoaccount e protezione dei sottosistemi chiave in etc/passwd

Tradizionalmente, il file /etc/passwd contiene numerosi “pseudoaccount”, cioè voci non associate ad alcun utente singolo e che non hanno shell di accesso realmente interattive.

Alcune di queste voci, come date, who, sync e tty, sviluppate per esclusiva comodità dell'utente, offrono dei comandi che potrebbero essere eseguiti senza accedere al sistema. Per assicurare una più rigida protezione, sono stati eliminati nel file /etc/passwd distribuito, in modo che questi programmi possano essere eseguiti solo da un utente che abbia eseguito l'accesso.

Le altre voci di questo tipo rimangono in /etc/passwd, perché sono le proprietarie dei file. I programmi con proprietari come adm, bin, daemon, hpdb, lp e uucp comprendono interi sottosistemi e costituiscono un caso speciale. Dato che concedono l'accesso ai file che proteggono o usano, questi programmi devono essere lasciati operare come pseudoaccount, con le voci elencate in /etc/passwd. Gli account di tipo pseudo e speciale utilizzati usualmente sono illustrati nell'Esempio 2-1.

Esempio 2-1 Account di sistema pseudo e speciali

root::0:3::/:/sbin/sh
daemon:*:1:5::/:/sbin/sh
bin:*:2:2::/usr/bin:/sbin/sh
sys:*:3:3::/:
adm:*:4:4::/var/adm:/sbin/sh
uucp:*:5:3::/var/spool/uucppublic:/usr/lbin/uucp/uucico
lp:*:9:7::/var/spool/lp:/sbin/sh
nuucp:*:11:11::/var/spool/uucppublic:/usr/lbin/uucp/uucico
hpdb:*:27:1:ALLBASE:/:/sbin/sh
nobody:*:-2:-2::/:

La caratteristica principale dello stato privilegiato di questi sottosistemi è la loro capacità di consentire l'accesso ai programmi che si trovano nella la loro giurisdizione, senza consentire l'accesso di root (uid 0). Al contrario, è impostato il bit setuid del file eseguibile e l'utente effettivo del processo corrisponde al proprietario del file eseguibile. Ad esempio, il comando cancel fa parte del sottosistema lp ed è eseguito come utente effettivo lp).

Una volta impostato setuid, la mediazione di protezione di quel sottosistema garantisce la protezione di tutti i programmi in esso compresi, ma non nell'intero sistema. Quindi, anche la vulnerabilità del sottosistema ad una violazione della protezione è limitata solamente a quei file di sottosistema. Le violazioni non possono riguardare i programmi che si trovano in altri sottosistemi. Ad esempio, i programmi in lp non hanno effetto su quelli che si trovano in daemon.

Accesso protetto con HP-UX Secure Shell

HP-UX Secure Shell offre la protezione di accesso remoto, trasferimento file ed esecuzione remota di comandi. Tutte le comunicazioni fra client e server sono crittografate. Le password non sono mai trasmesse in chiaro attraverso la rete. Per ulteriori informazioni, vedere ssh(1) e Sezione .

Protezione delle password archiviate in NIS

Network Information Service (NIS) fa parte di Network File System (NFS). NIS consente l'amministrazione della configurazione di più host da un unico punto, un server master. Invece di conservare separatamente le configurazioni degli host in ciascuno di essi, le informazioni sono consolidate nell'unità centrale. Il file /etc/password è uno dei vari file di configurazione archiviati nel server NIS.

Il file /etc/shadow delle password shadow non è supportato da NIS.

Per ulteriori informazioni su NIS, vedere NFS Services Administrator's Guide.

Protezione delle password archiviate in un server di directory LDAP

LDAP-UX Client Services interagisce con PAM per autenticare le password archiviate in un server di directory LDAP. La libreria PAM_LDAP offre il servizio di autenticazione.