管理標準密碼及系統存取

密碼是最重要的個別使用者識別符號。系統透過密碼認證使用者以允許系統的存取。由於密碼在使用、儲存或知悉時有外洩的危險，因此必須隨時保密。

系統管理者的責任

系統管理者及系統上的每個使用者都必須共同承擔密碼安全性的責任。系統管理者需執行以下安全性作業：

確保所有使用者皆有密碼。
維護所有 system 檔案的適當權限，包括標準密碼及群組檔案、/etc/passwd 及 /etc/group。
刪除和 (或) 廢止不再有存取系統資格之使用者的 ID 及密碼。

使用者的責任

每位使用者都必須遵守以下規定：

記住密碼並隨時保密。
立即變更原始密碼，並定時更換密碼。
有任何狀況變更及可疑的安全性入侵時皆需儘速報告。
確保輸入密碼時不被人看見。
為每台在其上有帳號的電腦個別選取不同的密碼。

好密碼的標準

選擇密碼時請遵守下列準則：

密碼至少要有六位數字，最多可到 80 個。特殊字元可包含控制字元及符號，如星號及斜線。標準模式中，只使用前 8 個字元。
請勿選取可在任何語言的字典中找到的字，即使是倒過來拼也一樣，有的軟體程式可以破解它。
請勿選取可輕易聯想的密碼，例如家人或寵物名稱、嗜好等。
請勿以簡單的鍵盤順序，例如 asdfghjkl，或重複登入名稱 (若以 ann 登入；就不要以 annann 作為密碼)。
故意拼錯字或組合兩個不相關字詞的音節是不錯的密碼。另一種受歡迎的方法就是以喜歡的標題或片語的第一個字作為密碼。
可考慮使用密碼產生器，結合各音節以產生可發音的無意義字詞。

管理階層必須禁止共用密碼，使用者共用密碼會違反安全性。

密碼檔案

標準的系統會維護一個密碼檔案：/etc/passwd。

若配置 NIS+，那麼此程序將更為複雜；請參閱「Network Information Service Plus (NIS+)」。

所有密碼在輸入後應立即加密，並存放於密碼檔案 /etc/passwd 中，只有加密的密碼可用來比對。

密碼檔案中請勿允許任何空白/空 (null) 的密碼欄位，否則會留下可能的安全性漏洞，因為任何使用者在第一次設定密碼前都可設定該帳號的密碼。

請勿直接編輯密碼檔案。使用 SAM、useradd、userdel，或 usermod 來修正密碼檔案的項目。

/etc/passwd 檔案

/etc/passwd 檔案是標準 HP-UX 於使用者登入時進行認證的檔案，包括 HP-UX 系統上每個帳號的項目。每個項目包含 7 個欄位，以冒號區隔；請參閱 passwd(4)。典型的 /etc/passwd 項目應如下：

robin:Z.yxGaSvxAXGg:102:99:Robin Hood,Rm 3,x9876,408-555-1234:/home/robin:/usr/bin/sh

欄位包含以下資訊 (依序排列)，以冒號分隔：

使用者 (登入) 名稱，最多包含 8 個字元 (範例中為 robin)
加密的密碼欄位 (Z.yxGaSvxAXGg)
使用者 ID (uid)，為 0 到 MAXINT-1 (等於 2,147,483,646 或 2³¹ -2) 的整數 (102)
群組 ID (gid)，/etc/group 中從 0 到 MAXINT-1 的整數 (99)
註解欄，用來識別資訊，如使用者全名，位置及電話號碼等。由於歷史的緣故，此欄又稱為 gecos 欄 (Robin Hood,Rm 3,x9876,408-555-1234)
起始目錄，使用者的初始登入目錄 (/home/robin)
登入 shell 路徑名稱，使用者登入時執行 (/usr/bin/sh)

使用者可啟動 passwd 變更密碼；啟動 chfn 變更註解欄 (第 5 欄)，以及啟動 chsh 變更登入程式的路徑名稱 (第 7 欄)。系統管理者會設定其他的欄位。uid 應該是獨一無二的，請參閱 chfn(1)、chsh(1)、passwd(1)，和 passwd(4)。

刪除虛擬帳號及保護關鍵子系統

一般來說，/etc/passwd 檔案包含數個「虛擬帳號」(pseudo-account)：項目皆與個別使用者無關，亦沒有實際的互動式登入 shell。

部分項目，例如 date、who、sync 及 tty，完全是為便利使用者而設計的，提供免登入即可執行的命令。為加強安全性，配送的 /etc/passwd 已刪除這些項目，僅讓登入的使用者才能執行這些程式。

其他此類項目仍留在 /etc/passwd 中，因為它們是檔案的所有者。擁有所有者的程式，如 adm、bin、daemon、hpdb、lp ，及 uucp 含有整個子系統，可說是特殊的例子。因為這些程式允許存取其保護或使用的檔案，因此必須允許執行功能，如虛擬帳號、在 /etc/passwd 中列有項目。慣用的虛擬及特殊帳號列於圖 8-1 「虛擬及特殊系統帳號」。

圖 8-1 虛擬及特殊系統帳號

root::0:3::/:/sbin/sh
daemon:*:1:5::/:/sbin/sh
bin:*:2:2::/usr/bin:/sbin/sh
sys:*:3:3::/:
adm:*:4:4::/var/adm:/sbin/sh
uucp:*:5:3::/var/spool/uucppublic:/usr/lbin/uucp/uucico
lp:*:9:7::/var/spool/lp:/sbin/sh
nuucp:*:11:11::/var/spool/uucppublic:/usr/lbin/uucp/uucico
hpdb:*:27:1:ALLBASE:/:/sbin/sh
nobody:*:-2:-2::/:

這些子系統特權狀態的關鍵在於其管轄範圍內可不需允許 root 存取權限 (uid 0)，即允許存取程式。相反地，已設定執行檔的 setuid 位元，而程序的有效使用者對應至執行檔的所有者。例如，cancel 命令是 lp 子系統的一部分，以有效使用者 lp 執行。

設定後，子系統的安全性調解 (mediation) 功能可加強子系統包含之所有程式的安全性，但非整個系統的安全性。因此，子系統若有安全性漏洞的弱點，亦會限制於子系統的檔案範圍內，漏洞無法影響不同子系統下的程式。例如，lp 下的程式無法影響 daemon 下的程式。

透過數據機存取系統

為防止透過數據機滲透系統，請遵守以下預防措施：

需於所有互動式數據機上使用硬體回撥系統。
數據機使用者需具備一組額外的密碼，在 /etc/dialups 及 (選擇性) /etc/d_passwd 內新增數據機裝置項目。
讓使用者定期更新撥入帳號。
使用者不再具備員工身份時，立即取消其系統存取權限。
建立定期稽核時程來檢視遠端使用狀態。
將數據機及回撥設備連接至單一 HP-UX 系統，允許網路服務由該系統連接至目標系統。
UUCP 存取時必須設定回撥例外。若適當地配置 UUCP，則可有額外的限制。另一個可能的例外是經由 kermit 傳輸檔案。請參閱 kermit(1)。
若發現不明原因造成的安全性漏洞，請關閉網路及電話存取，並通知網路管理者。
配置回撥數據機系統時，為達到最大的安全性，請將撥出機制設定為僅限撥出功能，不應設定為接受撥入。撥入服務應使用另一台數據機透過另一支電話線進行。

保護程式免於非法執行

自 HP-UX 11i 起，新的核心程式參數 executable_stack 可避免程式因堆疊 (stack) 而執行程式碼，以防止入侵者將非法資料傳送到程式中，造成程式因程式堆疊而執行任意的程式碼。

為了與之前的版本相容，executable_stack 預設為 1，以允許執行堆疊。您可以使用 SAM 將值變更為 0，預防堆疊執行。

若程式需執行堆疊，您可使用以下命令

chatr +es enable 程式

允許堆疊執行。若需詳細資訊，請參閱 chatr(1)。