Cómo obligar a los usuarios a cambiar sus contraseñas en Linux

Las contraseñas son la piedra angular de la seguridad de la cuenta. Le mostraremos cómo restablecer contraseñas, establecer períodos de caducidad de contraseñas y hacer cumplir los cambios de contraseña en su red Linux.

La contraseña ha existido durante casi 60 años

Hemos estado demostrando a las computadoras que somos quienes decimos ser desde mediados de la década de 1960, cuando se introdujo la contraseña por primera vez. Siendo la necesidad la madre de la invención, el Sistema de tiempo compartido compatible desarrollado en el Instituto de Tecnología de Massachusetts necesitaba una forma de identificar a diferentes personas en el sistema. También necesitaba evitar que las personas vieran los archivos de los demás.

Fernando J. Corbató propuso un esquema que asignaba un nombre de usuario único a cada persona. Para demostrar que alguien era quien decía ser, tenía que usar una contraseña privada y personal para acceder a su cuenta.

El problema con las contraseñas es que funcionan como una llave. Cualquiera que tenga una llave puede usarla. Si alguien encuentra, adivina o descubre su contraseña, esa persona puede acceder a su cuenta. Hasta que autenticación multifactor está disponible universalmente, la contraseña es lo único que mantiene a las personas no autorizadas (actores de amenazas, en lenguaje de ciberseguridad) fuera de su sistema.

Las conexiones remotas realizadas por Secure Shell (SSH) se pueden configurar para usar claves SSH en lugar de contraseñas, y eso es genial. Sin embargo, ese es solo un método de conexión y no cubre los inicios de sesión locales.

Claramente, la administración de contraseñas es vital, al igual que la administración de las personas que usan esas contraseñas.

RELACIONADO: Cómo crear e instalar claves SSH desde el Shell de Linux

La anatomía de una contraseña

De todos modos, ¿qué hace que una contraseña sea buena? Bueno, una buena contraseña debe tener todos los siguientes atributos:

• Es imposible de adivinar o averiguar.
• No lo ha usado en ningún otro lugar.
• No ha estado involucrado en un Filtración de datos.

los ¿Me han engañado? (HIBP) contiene más de 10 mil millones de conjuntos de credenciales violadas. Con cifras tan altas, es probable que alguien más haya usado la misma contraseña que tú. Esto significa que su contraseña podría estar en la base de datos, aunque no fue su cuenta la que fue violada.

Si su contraseña está en el sitio web de HIBP, esto significa que está en las listas de contraseñas de los actores de amenazas. ataque de fuerza bruta y de diccionario herramientas que utilizan cuando intentan abrir una cuenta.

Una contraseña verdaderamente aleatoria (como 4HW @ HpJDBr% * Wt @ # b ~ aP) es prácticamente invulnerable, pero, por supuesto, nunca la recordaría. Le recomendamos encarecidamente que utilice un administrador de contraseñas para las cuentas en línea. Generan contraseñas complejas y aleatorias para todas sus cuentas en línea, y no es necesario que las recuerde: el administrador de contraseñas le proporciona la contraseña correcta.

Para las cuentas locales, cada persona debe generar su propia contraseña. También necesitarán saber cuál es una contraseña aceptable y cuál no. Tendrán que decirles que no reutilicen las contraseñas en otras cuentas, y así sucesivamente.

Esta información suele estar en la Política de contraseñas de una organización. Instruye a las personas a utilizar un número mínimo de caracteres, mezclar letras mayúsculas y minúsculas, incluir símbolos y puntuación, etc.

Sin embargo, de acuerdo con un papel nuevor de un equipo en Universidad de Carnegie mellon, todos estos trucos añaden poco o nada a la solidez de una contraseña. Los investigadores descubrieron que los dos factores clave para la solidez de las contraseñas son que tengan al menos 12 caracteres de longitud y sean lo suficientemente fuertes. Midieron la fuerza de las contraseñas utilizando una serie de programas para descifrar software, técnicas estadísticas y redes neuronales.

Un mínimo de 12 caracteres puede parecer abrumador al principio. Sin embargo, no piense en términos de una contraseña, sino de una frase de contraseña de tres o cuatro palabras no relacionadas separadas por puntuación.

Por ejemplo, el Comprobador de contraseñas de Experte dijo que se necesitarían 42 minutos para romper «chicago99», pero 400 mil millones de años para romper «chimenea.purple.bag». También es fácil de recordar y escribir, y contiene solo 18 caracteres.

RELACIONADO: Por qué debería utilizar un administrador de contraseñas y cómo empezar

Revisión de la configuración actual

Antes de cambiar cualquier cosa que tenga que ver con la contraseña de una persona, es prudente echar un vistazo a su configuración actual. Con el passwd comando, puedes revisar su configuración actual con su -S opción (estado). Tenga en cuenta que también tendrá que usar sudo con passwd si está trabajando con la configuración de contraseña de otra persona.

Escribimos lo siguiente:

sudo passwd -S mary

Se imprime una sola línea de información en la ventana del terminal, como se muestra a continuación.

Verá la siguiente información (de izquierda a derecha) en esa breve respuesta:

• El nombre de inicio de sesión de la persona.
• Uno de los siguientes tres posibles indicadores aparece aquí:
  • PAG: Indica que la cuenta tiene una contraseña válida y funcional.
  • L: Significa que la cuenta ha sido bloqueada por el propietario de la cuenta raíz.
  • NOTARIO PÚBLICO: No se ha establecido una contraseña.
• La fecha en que se cambió la contraseña por última vez.
• Antigüedad mínima de la contraseña: El período mínimo de tiempo (en días) que debe transcurrir entre los restablecimientos de contraseña realizados por el propietario de la cuenta. Sin embargo, el propietario de la cuenta raíz siempre puede cambiar la contraseña de cualquier persona. Si este valor es 0 (cero), no hay restricción en la frecuencia de los cambios de contraseña.
• Antigüedad máxima de la contraseña: Se solicita al propietario de la cuenta que cambie su contraseña cuando alcance esta edad. Este valor se da en días, por lo que un valor de 99,999 significa que la contraseña nunca caduca.
• Período de advertencia de cambio de contraseña: Si se aplica una edad máxima de contraseña, el propietario de la cuenta recibirá recordatorios para cambiar su contraseña. El primero de ellos se enviará el número de días que se muestra aquí antes de la fecha de reinicio.
• Periodo de inactividad de la contraseña: Si alguien no accede al sistema durante un período de tiempo que se superpone a la fecha límite para restablecer la contraseña, la contraseña de esta persona no se cambiará. Este valor indica cuántos días sigue el período de gracia a la fecha de vencimiento de la contraseña. Si la cuenta permanece inactiva este número de días después de que expira una contraseña, la cuenta está bloqueada. Un valor de -1 desactiva el período de gracia.

Establecer una antigüedad máxima de la contraseña

Para establecer un período de restablecimiento de contraseña, puede utilizar el -x (días máximos) opción con un número de días. No dejas un espacio entre el -x y los dígitos, por lo que lo escribiría de la siguiente manera:

sudo passwd -x45 mary

Se nos dice que el valor de vencimiento ha cambiado, como se muestra a continuación.

Utilizar el -S (estado) para comprobar que el valor ahora es 45:

sudo passwd -S mary

Ahora, en 45 días, se debe configurar una nueva contraseña para esta cuenta. Los recordatorios comenzarán siete días antes de eso. Si no se establece una nueva contraseña a tiempo, esta cuenta se bloqueará de inmediato.

Aplicación de un cambio de contraseña inmediato

También puede usar un comando para que otros en su red tengan que cambiar sus contraseñas la próxima vez que inicien sesión. Para hacer esto, debe usar el -e (expirar) opción, de la siguiente manera:

sudo passwd -e mary

Luego se nos dice que la información de caducidad de la contraseña ha cambiado.

Comprobemos con el -S opción y ver qué sucedió:

sudo passwd -S mary

La fecha del último cambio de contraseña se establece en el primer día de 1970. La próxima vez que esta persona intente iniciar sesión, tendrá que cambiar su contraseña. También deben proporcionar su contraseña actual antes de poder escribir una nueva.

¿Debería hacer cumplir los cambios de contraseña?

Obligar a las personas a cambiar sus contraseñas con regularidad solía ser de sentido común. Fue uno de los pasos de seguridad de rutina para la mayoría de las instalaciones y se consideró una buena práctica comercial.

El pensamiento ahora es el polo opuesto. En el Reino Unido, Centro Nacional de Seguridad Cibernética aconseja encarecidamente contra la aplicación de renovaciones periódicas de contraseñas, y el Instituto Nacional de Estándares y Tecnología en los Estados Unidos está de acuerdo. Ambas organizaciones recomiendan hacer cumplir un cambio de contraseña solo si sabe o sospecha que una existente está conocido por otros.

Obligar a las personas a cambiar sus contraseñas se vuelve monótono y fomenta las contraseñas débiles. Las personas generalmente comienzan a reutilizar una contraseña base con una fecha u otro número etiquetado. O los escribirán porque tienen que cambiarlos con tanta frecuencia que no pueden recordarlos.

Las dos organizaciones que mencionamos anteriormente recomiendan las siguientes pautas para la seguridad de las contraseñas:

• Utilice un administrador de contraseñas: Para cuentas locales y en línea.
• Active la autenticación de dos factores: Siempre que sea una opción, úsela.
• Utilice una frase de contraseña segura: Una excelente alternativa para aquellas cuentas que no funcionan con un administrador de contraseñas. Tres o más palabras separadas por signos de puntuación o símbolos es una buena plantilla a seguir.
• Nunca reutilices una contraseña: Evite usar la misma contraseña que usa para otra cuenta, y definitivamente no use una que aparece en ¿Me han engañado?.

Los consejos anteriores le permitirán establecer un medio seguro para acceder a sus cuentas. Una vez que tenga estas pautas en su lugar, cúmplalas. ¿Por qué cambiar su contraseña si es fuerte y segura? Si cae en las manos equivocadas, o sospecha que lo ha hecho, puede cambiarlo.

A veces, sin embargo, esta decisión está fuera de tus manos. Si los poderes que se aplican a la contraseña cambian, no tiene muchas opciones. Puede defender su caso y dar a conocer su posición, pero a menos que sea el jefe, tendrá que seguir la política de la empresa.

RELACIONADO: ¿Debería cambiar sus contraseñas con regularidad?

El comando chage

Puedes usar los chage mando para cambiar la configuración relacionada con el vencimiento de la contraseña. Este comando recibe su nombre de «cambiar el envejecimiento». Es como el passwd comando con los elementos de creación de contraseña eliminados.

los -l La opción (lista) presenta la misma información que la passwd -S comando, pero de una manera más amigable.

Escribimos lo siguiente:

sudo chage -l eric

Otro buen toque es que puede establecer una fecha de vencimiento de la cuenta utilizando el -E (vencimiento) opción. Pasaremos una fecha (en el formato año-mes-fecha) para establecer una fecha de vencimiento del 30 de noviembre de 2020. En esa fecha, la cuenta se bloqueará.

Escribimos lo siguiente:

sudo chage eric -E 2020-11-30

A continuación, escribimos lo siguiente para asegurarnos de que se haya realizado este cambio:

sudo chage -l eric

Vemos que la fecha de vencimiento de la cuenta ha cambiado de «nunca» al 30 de noviembre de 2020.

Para establecer un período de caducidad de la contraseña, puede utilizar el -M (días máximos), junto con el número máximo de días que se puede utilizar una contraseña antes de que deba cambiarse.

Escribimos lo siguiente:

sudo chage -M 45 mary

Escribimos lo siguiente, usando el -l (lista) opción, para ver el efecto de nuestro comando:

sudo chage -l mary

La fecha de vencimiento de la contraseña ahora está configurada en 45 días a partir de la fecha en que la configuramos, que, como se muestra, será el 8 de diciembre de 2020.

Realizar cambios de contraseña para todos en una red

Cuando se crean cuentas, se utiliza un conjunto de valores predeterminados para las contraseñas. Puede definir cuáles son los valores predeterminados para los días mínimo, máximo y de advertencia. Luego, estos se guardan en un archivo llamado «/etc/login.defs».

Puede escribir lo siguiente para abrir este archivo en gedit:

sudo gedit /etc/login.defs

Desplácese hasta los controles de antigüedad de la contraseña.

Puede editarlos para adaptarlos a sus necesidades, guardar los cambios y luego cerrar el editor. La próxima vez que cree una cuenta de usuario, se aplicarán estos valores predeterminados.

Si desea cambiar todas las fechas de vencimiento de las contraseñas de las cuentas de usuario existentes, puede hacerlo fácilmente con un script. Simplemente escriba lo siguiente para abrir el gedit editor y cree un archivo llamado «password-date.sh»:

sudo gedit password-date.sh

A continuación, copie el siguiente texto en su editor, guarde el archivo y luego cierre gedit:

#!/bin/bash

reset_days=28

for username in $(ls /home)
do
  sudo chage $username -M $reset_days
  echo $username password expiry changed to $reset_days
done

Esto cambiará el número máximo de días para cada cuenta de usuario a 28 y, por lo tanto, la frecuencia de restablecimiento de contraseña. Puede ajustar el valor del reset_days variable para adaptarse.

Primero, escribimos lo siguiente para que nuestro script sea ejecutable:

chmod +x password-date.sh

Ahora, podemos escribir lo siguiente para ejecutar nuestro script:

sudo ./password-date.sh

Luego, se procesa cada cuenta, como se muestra a continuación.

Escribimos lo siguiente para verificar la cuenta de «mary»:

sudo change -l mary

El valor máximo de días se ha establecido en 28, y se nos dice que caerá el 21 de noviembre de 2020. También puede modificar fácilmente el script y agregar más chage o passwd comandos.

La gestión de contraseñas es algo que debe tomarse en serio. Ahora, tiene las herramientas que necesita para tomar el control.