强化Linux系统安全：配置密码复杂度与登录失败锁定策略

在Linux系统中，设置密码复杂度及登录失败策略是提升系统安全性的重要措施。以下将详细阐述如何进行这些设置：

一、设置密码复杂度

以管理员权限登录：确保你以具有管理员权限的用户身份登录，例如使用root用户或者通过sudo命令提升权限。

查看当前密码策略：使用authconfig或pam_pwquality模块查看当前密码策略。可以通过查看PAM配置文件来检查当前的密码策略。通常，这些文件位于/etc/pam.d/目录下，如system-auth或password-auth。

cat /etc/pam.d/system-auth | grep pam_pwquality

修改配置文件：根据需求修改/etc/security/pwquality.conf文件或相关配置文件。使用文本编辑器（如vim或nano）来编辑这个文件。

vim /etc/security/pwquality.conf

在配置文件中，可以设置以下参数：

• minlen：密码的最小长度，通常建议设置为8个字符以上。
• dcredit：密码中必须包含的数字的最小数量。
• ucredit：密码中必须包含的大写字母的最小数量。
• lcredit：密码中必须包含的小写字母的最小数量。
• ocredit：密码中必须包含的特殊字符的最小数量。

例如，要设置密码至少包含8个字符，且必须包含至少一个小写字母、一个大写字母、一个数字和一个特殊字符，可以添加或修改以下行：

minlen=8 dcredit=-1 ucredit=-1 lcredit=-1 ocredit=-1

你还可以设置其他参数，如difok（新密码中必须有多少个字符与旧密码不同）和enforce_for_root（是否对root用户强制执行密码复杂度策略）。

使更改生效：修改配置文件后，通常不需要重启系统，但可能需要重新加载PAM服务或重启相关服务以使更改生效。在某些情况下，简单地注销并重新登录可能就足够了。或者，如果你只是修改了单个用户的服务，可能只需要重启该服务即可。

二、设置登录失败策略

使用pam_tally2模块：

• 安装pam_tally2模块（如果尚未安装）：

sudo apt-get install libpam-modules-bin

注意：在某些Linux发行版中，pam_tally2可能已被pam_faillock取代，但pam_faillock的使用方法与pam_tally2类似。

配置pam_tally2模块：编辑/etc/pam.d/login文件（或其他相关PAM配置文件），添加以下内容：

auth required pam_tally2.so deny=3 unlock_time=600

这里的含义是：当用户连续尝试登录失败3次后，将锁定用户账户，600秒（10分钟）后自动解锁。

使配置生效：重启系统或使用相关命令使PAM配置生效（具体方法取决于你的Linux发行版）。

使用faillog命令（适用于使用pam_faillock的系统）：

• 查看登录失败次数：使用faillog命令可以查看用户的登录失败次数：

faillog -u 用户名

锁定用户账户：当用户的登录失败次数达到预设值时，可以使用以下命令锁定用户账户：

usermod -L 用户名

或者使用pam_faillock直接锁定：

pam_faillock --user=用户名 --fail --reset-success

解锁用户账户：使用以下命令解锁用户账户：

usermod -U 用户名

或者使用pam_faillock解锁：

pam_faillock --user=用户名 --unlock

设置登录失败次数阈值：要设置登录失败次数的阈值，可以修改/etc/security/faillock.conf文件（或其他相关配置文件），添加或修改以下内容：

auth [success=1 default=ignore] pam_faillock.so preauth audit silent deny=3 unlock_time=600

这里的含义与pam_tally2的配置类似，即当用户连续尝试登录失败3次后，将锁定用户账户，600秒后自动解锁。

总结

通过以上步骤，你可以在Linux系统中设置密码复杂度和登录失败策略，从而提升系统的安全性。请根据你的具体需求和Linux发行版进行相应的配置和调整。