如何设置su密码策略

在Linux系统中，su命令允许用户切换到超级用户权限进行管理操作。为了确保系统的安全性，可以对su命令使用的密码设置一定的策略和限制。以下是如何配置这些策略的方法。

1. 使用PAM模块进行密码复杂性检查

PAM（Pluggable Authentication Modules）是Linux下的一个安全框架，允许系统管理员在登录、认证等阶段插入自定义的验证模块。通过使用PAM模块，可以对su命令的密码设置特定策略。常用的PAM模块包括pam_cracklib, pam_pwhistory以及pam_unix。

1.1 安装必要的PAM模块

首先确保系统中已经安装了这些PAM模块。在大多数现代Linux发行版中，这些模块通常是默认包含的。可以使用以下命令检查是否已安装：

sudo apt-get install libpam-cracklib # 对于Debian/Ubuntu等基于Debian的系统

1.2 配置PAM配置文件

编辑PAM配置文件/etc/pam.d/su以设置密码复杂性和历史记录。例如，可以添加以下行来使用pam_cracklib和pam_unix模块：

# 使用 cracklib 密码复杂性检查
password    requisite        pam_cracklib.so retry=3 minlen=14 dcredit=-1 ucredit=-2 lcredit=-2 ocredit=-2

# 允许使用相同的密码不超过一定时间（可选）
password    sufficient       pam_pwhistory.so use_authtok remember=5

# 基本的UNIX认证
password    required         pam_unix.so sha512 shadow nullok try_first_pass

上述配置中：

• pam_cracklib用于检查密码复杂性。
  • retry=3: 如果用户输入了错误的密码，最多允许三次重试。
  • minlen=14: 密码最小长度为14个字符。
  • dcredit=-1 ucredit=-2 lcredit=-2 ocredit=-2: 对数字、字母大小写和特殊符号的数量进行限制。
• pam_pwhistory用于检查新密码是否与旧的密码相同。
  • remember=5: 新的密码不能与最近五次使用过的密码重复。

2. 验证配置

完成上述配置后，可以重新启动系统或尝试执行su命令以验证设置。如果发现有任何问题，可以通过修改PAM配置文件来进行调整和优化。

通过上述方法，可以根据具体的安全需求设置su命令的密码策略。这有助于提高系统的安全性，并确保用户采用更复杂的密码，从而减少被破解的风险。