Gestion des mots de passe

Le mot de passe est le symbole d’identification individuel le plus important. Le système l’utilise pour s’assurer de l’identité d’un utilisateur et lui permettre l’accès au système. Les mots de passe pouvant être divulgués lorsqu’ils sont utilisés, stockés ou connus, ils doivent rester secrets en toutes circonstances. Les sections suivantes traitent des mots de passe de manière plus approfondie.

Responsabilités de l'administrateur système

L'administrateur système, ainsi que tous les utilisateurs du système, partagent la charge de protéger les mots de passe. Les administrateurs système effectuent les tâches de sécurité suivantes :

S’assurer que tous les utilisateurs disposent de mots de passe.
Assurer le renouvellement des autorisations d’accès correctes sur tous les systèmes de fichiers, y compris les fichiers de mots de passe standard et fichiers de groupes, /etc/passwd et /etc/group.
Supprimer ou annuler les mots de passe et les ID utilisateur des utilisateurs qui n’ont plus l’autorisation d’accéder au système.
Vérifier que tous les mots de passe d'applications sont chiffrés.
Vérifiez que les autorisations sur /var/adm/btmp et /var/adm/wtmp sont définies correctement.
Implémenter des mots de passe à utilisation ponctuelle pour l'accès invité.
Informer les utilisateurs de leurs responsabilités quant à la sécurité des mots de passe.
Utiliser le vieillissement de mot de passe pour forcer les utilisateurs à modifier régulièrement leurs mots de passe.
Empêcher toute réutilisation des mots de passe récents.
Configurer les attributs de sécurité à l'échelle du système dans le fichier /etc/default/security. Pour plus d'informations, voir la Section et security(4).
Convertir le système de façon à utiliser des mots de passe fantômes. Pour plus d'informations, voir la Section et les pages de manuel shadow(4) et pwconv(1M).

Responsabilités de l'utilisateur

Les règles suivantes sont valables pour chaque utilisateur :

Se souvenir de son mot de passe et le tenir secret en toutes circonstances.
Modifier immédiatement le mot de passe initial et continuer à le modifier.
Signaler tout changement d’état et toute violation des règles de sécurité.
Veiller à entrer le mot de passe aussi confidentiellement que possible.

Caractéristiques d’un bon mot de passe

Observez les recommandations suivantes lors du choix d'un mot de passe et faites part de ces recommandations aux utilisateurs :

Choisissez un mot de passe avec au moins six caractères et pas plus de 80 caractères. Les caractères spéciaux peuvent inclure des caractères de contrôle et des symboles tels que des astérisques et des barres obliques. En mode standard, seuls les huit premiers caractères sont pris en compte.
Ne choisissez jamais un mot que l’on peut trouver dans un dictionnaire, même en l’écrivant à l’envers. Il existe des programmes capables de retrouver ce type de mot de passe.
Ne choisissez jamais un mot de passe auquel on puisse aisément vous associer : nom d’une personne de votre entourage, d’un animal familier ou de votre passe-temps favori.
N’utilisez pas de séquences de clavier simple comme qsdfghjkl ni des variantes de votre nom de connexion (par exemple, avec le nom de connexion anne, évitez les mots de passe du type anneanne).
Les mots mal orthographiés et les mots valise obtenus en recombinant les syllabes de deux mots indépendants sont acceptables. Une autre méthode courante consiste à choisir les initiales des mots d’un titre ou d’une phrase.
Envisagez d’utiliser un générateur de mots de passe qui combine des syllabes pour créer des mots sans signification mais que vous pourrez prononcer.
Ne partagez pas de mots de passe avec d'autres utilisateurs. La direction de l’entreprise doit interdire formellement l’échange de mots de passe.
Veillez à toujours avoir un mot de passe. Votre champ de mot de passe dans le fichier /etc/passwd ne doit jamais être vierge.

Modification du fichier de mots de passe /etc/passwd

Un système standard possède un fichier de mots de passe : /etc/passwd.

Une fois entrés, tous les mots de passe sont immédiatement chiffrés et stockés dans le fichier de mots de passe, /etc/passwd. Seul le mot de passe chiffré est utilisé pour les comparaisons.

Appliquez les recommandations suivantes si vous devez modifier le fichier de mots de passe :

N'autorisez pas les champs de mots de passe vides ou nuls ; il s'agit d'une violation de la sécurité. Un champ de mot de passe vide permet à tout utilisateur de définir le mot de passe pour ce compte.
N’éditez jamais le fichier de mots de passe directement. Utilisez HP SMH ou la commande useradd, userdel ou usermod pour modifier des entrées de fichier de mots de passe. Si vous devez éditez le fichier de mots de passe directement, utilisez la commande vipw et vérifiez avec la commande pwck. Pour plus d'informations, voir les pages de manuel vipw(1M) et pwck(1M).

Exemples d’utilisation de la commande passwd

Voici quelques exemples utiles de commandes passwd :

Réinitialiser le mot de passe d'un utilisateur :
# passwd user1
Forcer une modification de mot de passe lors de la prochaine connexion :
# passwd -f user1
Verrouiller ou désactiver un compte :
# passwd -l user2
Activer le vieillissement de mot de passe :
# passwd -n 7 -x 28 user1
Afficher l'état du vieillissement de mot de passe pour un utilisateur spécifique :
# passwd -s user
Afficher l'état du vieillissement de mot de passe pour tous les utilisateurs :
# passwd -sa

Format du fichier /etc/passwd

Le fichier /etc/passwd permet d’identifier les utilisateurs au moment de l’ouverture de session. Le fichier contient une description de chaque compte du système HP-UX. Chaque entrée se compose de sept champs séparés par un signe deux-points. Une entrée caractéristique du fichier /etc/passwd ressemble généralement à ceci :

robin:Z.yxGaSvxAXGg:102:99:Robin Hood,Rm 3,x9876,408-555-1234:/home/robin:/usr/bin/sh

Les champs regroupent les informations suivantes (répertoriées dans l’ordre) séparées par des signes deux-points :

robin—Nom de (connexion de) l’utilisateur, composé de huit caractères maximum.
Z.yxGaSvxAXGg—Champ de mot de passe chiffré.
102—ID utilisateur, un entier compris entre 0 et MAXINT-1, c’est-à-dire 2 147 483 646 ou encore 2³¹ -2).
99—ID de groupe, tiré de /etc/group, un entier compris entre 0 et MAXINT-1.
Robin Hood,Rm 3,x9876,408-555-1234—Champ de commentaire qui permet d’identifier les renseignements tels que le nom complet de l’utilisateur, son adresse et ses numéros de téléphone. Pour des raisons historiques, ce champ est appelé également gecos.
/home/robin—Répertoire personnel, c’est-à-dire le répertoire initial de connexion de l’utilisateur.
/usr/bin/sh—Nom du chemin du programme de connexion exécuté lorsque l’utilisateur se connecte.

L’utilisateur peut modifier son mot de passe en appelant passwd, le champ de commentaire (cinquième champ) avec chfn, et le nom du chemin du programme de connexion (septième champ) avec chsh. Seul l’administrateur système peut définir les autres champs. L'ID utilisateur doit être unique. Pour plus d'informations, voir chfn(1), chsh(1), passwd(1) et passwd(4).

Fichier de mot de passe fantôme /etc/shadow

La puissance de calcul accrue utilisable pour le piratage des mots de passe a rendu les mots de passe non masqués du fichier /etc/passwd vulnérables au déchiffrage.

Un mot de passe fantôme améliore la sécurité système en masquant des mots de passe chiffrés dans un fichier de mot de passe fantôme. Vous pouvez déplacer des mots de passe chiffrés préalablement stockés dans le fichier public /etc/passwd dans le fichier /etc/shadow, accessible uniquement par un utilisateur ayant les privilèges appropriés.

Utilisez les commandes suivantes pour activer, vérifier et désactiver les mots de passe fantômes :

La commande pwconv crée un fichier de mot de passe fantôme et copie les mots de passe chiffrés du fichier /etc/passwd vers le fichier /etc/shadow.
La commande pwck vérifie s'il existe des incohérences entre les fichiers /etc/passwd et /etc/shadow.
La commande pwunconv copie les mots de passe chiffrés et les informations de vieillissement du fichier /etc/shadow vers le fichier /etc/passwd, puis il supprime le fichier /etc/shadow.

Pour plus d'informations, voir pwconv(1M), pwck(1M), pwunconv(1M) et shadow(4).

Notez les points suivants relatifs à la fonctionnalité de mot de passe fantôme.

Lorsque la fonctionnalité de mot de passe fantôme est activée, des applications peuvent être affectées si elles accèdent directement au champ de mot de passe du fichier /etc/passwd afin d'obtenir des informations de mot de passe et de vieillissement. Ce champ ne contient pas l’option x, indiquant que les informations se trouvent dans /etc/shadow.
Les applications qui utilisent les interfaces PAM pour l'authentification ne sont pas affectées.
Pour accéder au fichier /etc/shadow par programme, utilisez les appels getspent(). Ces appels sont similaires aux appels getpwent() pour /etc/passwd. Pour plus d'informations, voir getspent(3C) et getpwent(3C).
Dans le fichier /etc/nsswitch.conf, les mots de passe fantôme sont pris en charge avec les services de noms files, NIS et LDAP, mais ils peuvent ne pas être pris en charge avec d'autres services de commutation de serveur de noms. Pour configurer le système de façon à utiliser uniquement files, NIS et/ou LDAP, assurez-vous que la ligne passwd dans /etc/nsswitch.conf contient uniquement files, NIS et/ou LDAP. Si /etc/nsswitch.conf n'existe pas ou si la ligne passwd est absente, la valeur par défaut est files uniquement. Pour plus d'informations, voir nsswitch.conf(4).
Le mot de passe fantôme est basé sur la norme de facto fournie avec d'autres systèmes UNIX.

Les attributs suivants, définis dans /etc/default/security, s'appliquent aux mots de passe fantômes. Pour plus d'informations, voir la Section et security(4).

INACTIVITY_MAXDAYS—Nombre de jours avant expiration d'un compte pour cause d'inactivité.
PASSWORD_MINDAYS—Nombre minimum de jours avant qu'un mot de passe puisse être modifié.
PASSWORD_MAXDAYS—Nombre maximal de jours pendant lesquels les mots de passe sont valides.
PASSWORD_WARNDAYS—Nombre de jours avant affichage d'un message d'avertissement d'expiration aux utilisateurs.

Les mots de passe fantômes sont pris en charge avec les produits suivants :

Lightweight Directory Access Protocol (LDAP)
Ignite-UX Directory Access Control (LDAP)
Serviceguard

Les mots de passe fantômes ne sont pas pris en charge par les applications qui s'attendent à ce que les mots de passe résident dans /etc/passwd.

Pour plus d'informations, voir les pages de manuel suivantes :

passwd(1), pwck(1M), pwconv(1M), pwunconv(1M), getspent(3C), putspent(3C), nsswitch.conf(4), passwd(4), security(4), shadow(4)

Élimination des comptes fictifs et protection des sous-systèmes clés dans /etc/passwd

Traditionnellement, le fichier /etc/passwd contient de nombreux « comptes fictifs », c’est-à-dire des entrées qui ne sont pas associées à des utilisateurs individuels et qui ne possèdent pas de véritable shell de connexion interactif.

Certaines de ces entrées, comme date, who, sync et tty, ont évolué essentiellement par commodité pour l’utilisateur, en offrant des commandes susceptibles d’être exécutées sans connexion. Pour renforcer votre sécurité, ils sont éliminés du fichier /etc/passwd distribué pour que ces programmes ne puissent être exécutés que par des utilisateurs déjà connectés.

Le fichier /etc/passwd contient cependant d’autres entrées de ce type, car les processus correspondants sont des propriétaires de fichiers. Les programmes ayant des propriétaires tels que adm, bin, daemon, hpdb, lp et uucp englobent des sous-systèmes entiers et représentent un cas particulier. Comme ils accordent des accès aux fichiers qu’ils protègent ou qu’ils utilisent, ces programmes doivent continuer à fonctionner en tant que comptes fictifs avec des entrées dans /etc/passwd. Les comptes spéciaux et fictifs habituels sont représentés dans l'Exemple 2-1.

Exemple 2-1 Comptes système fictifs et spéciaux

root::0:3::/:/sbin/sh
daemon:*:1:5::/:/sbin/sh
bin:*:2:2::/usr/bin:/sbin/sh
sys:*:3:3::/:
adm:*:4:4::/var/adm:/sbin/sh
uucp:*:5:3::/var/spool/uucppublic:/usr/lbin/uucp/uucico
lp:*:9:7::/var/spool/lp:/sbin/sh
nuucp:*:11:11::/var/spool/uucppublic:/usr/lbin/uucp/uucico
hpdb:*:27:1:ALLBASE:/:/sbin/sh
nobody:*:-2:-2::/:

La clé de l’état privilégié de ces sous-systèmes est leur capacité à autoriser l’accès aux programmes qui dépendent d’eux, sans autoriser d’accès à la racine (uid 0). Par contre, le bit setuid du fichier exécutable est défini et l’utilisateur effectif du processus correspond au propriétaire du fichier exécutable. Par exemple, la commande cancel fait partie du sous-système lp et s’exécute en tant qu’utilisateur effectif lp.

Lorsque la valeur setuid est définie, le système de sécurité de ce sous-système met en place la protection de tous les programmes du sous-système, et non du système entier. Par conséquent, la vulnérabilité du sous-système à une agression se limite également aux fichiers de ce sous-système. Les points de vulnérabilité ne sont pas en mesure d’affecter les programmes de différents sous-systèmes. Par exemple, des programmes sous lp n’affectent pas ceux de daemon.

Connexion sécurisée avec le Secure Shell HP-UX

Le Secure Shell HP-UX procure une fonctionnalité de connexion distante et de transfert de fichiers sécurisés, ainsi qu'une exécution de commande à distance. Toutes les communications client-serveur sont chiffrées. Les mots de passe qui transitent sur le réseau ne sont jamais transmis en clair. Pour plus d'informations, voir ssh(1) et la Section .

Sécurisation des mots de passe stockés dans NIS

Le service d'informations réseau (NIS, Network Information Service) fait partie du système NFS (Network File System). NIS permet d'administrer la configuration de plusieurs hôtes à partir d'un emplacement centralisé, un serveur maître. Au lieu d'avoir des configurations d'hôtes stockées séparément sur chaque hôte, les informations sont consolidées dans un emplacement centralisé. Le fichier /etc/password est l'un des fichiers de configuration stockés sur le serveur NIS.

Le fichier de mot de passe fantôme /etc/shadow n'est pas pris en charge sur NIS.

Pour plus d'informations sur le service NIS, voir le document NFS Services Administrator's Guide.

Sécurisation des mots de passe stockés sur le serveur d'annuaire LDAP

Les services clients LDAP-UX interopèrent avec PAM pour authentifier les mots de passe stockés sur un serveur d'annuaire LDAP. La bibliothèque PAM_LDAP fournit le service d'authentification.