مقدمه

رمز عبور همچنان یکی از رایج‌ترین روش‌های احراز هویت در سیستم‌های لینوکسی است. با وجود استفاده روزافزون از SSH Key، احراز هویت چندمرحله‌ای (MFA) و سایر روش‌های مدرن، بسیاری از سرورها و سرویس‌ها هنوز از رمز عبور برای ورود کاربران استفاده می‌کنند.

یکی از دلایل اصلی موفقیت حملاتی مانند Brute Force، Password Spraying و Credential Stuffing، استفاده از رمزهای عبور ضعیف یا نبود سیاست مناسب برای مدیریت آن‌ها است.

به همین دلیل، تعریف و اجرای یک Password Policy مناسب، یکی از مهم‌ترین اقدامات امنیتی پس از راه‌اندازی هر سرور محسوب می‌شود.

در این مقاله با مفهوم Password Policy، تنظیمات اصلی آن و نحوه پیاده‌سازی در لینوکس آشنا خواهیم شد.

Password Policy چیست؟

Password Policy مجموعه‌ای از قوانین است که تعیین می‌کند کاربران چگونه باید رمز عبور خود را انتخاب، استفاده و مدیریت کنند.

هدف از این سیاست‌ها، کاهش احتمال حدس زدن یا سرقت رمز عبور و افزایش امنیت حساب‌های کاربری است.

چرا Password Policy اهمیت دارد؟

یک رمز عبور ضعیف می‌تواند تمام اقدامات امنیتی دیگر را بی‌اثر کند.

برای مثال، اگر کاربر Root یا مدیر سیستم از رمز عبوری مانند:

123456

یا

password

استفاده کند، حتی وجود فایروال و آخرین وصله‌های امنیتی نیز مانع نفوذ مهاجم نخواهد شد.

ویژگی‌های یک رمز عبور مناسب

یک رمز عبور قوی بهتر است:

• حداقل ۱۲ تا ۱۶ کاراکتر داشته باشد.
• شامل حروف بزرگ و کوچک باشد.
• شامل اعداد باشد.
• شامل نمادهای ویژه باشد.
• قابل حدس نباشد.
• در سرویس‌های دیگر استفاده نشده باشد.

نمونه مناسب:

Ki@N!2026#Linux

نمونه نامناسب:

admin123

مؤلفه‌های اصلی Password Policy

یک سیاست مناسب معمولاً شامل موارد زیر است:

• حداقل طول رمز عبور
• پیچیدگی رمز عبور
• تاریخ انقضای رمز عبور
• جلوگیری از استفاده مجدد
• قفل شدن حساب پس از چند ورود ناموفق
• محدودیت حداقل زمان تغییر رمز
• بررسی کیفیت رمز هنگام انتخاب

بررسی وضعیت فعلی رمز عبور

برای مشاهده اطلاعات مربوط به رمز عبور یک کاربر:

sudo chage -l username

مثال:

sudo chage -l admin

نمونه خروجی:

Last password change
Password expires
Password inactive
Account expires
Minimum number of days
Maximum number of days

تعیین تاریخ انقضای رمز عبور

برای تعیین اینکه رمز عبور هر ۹۰ روز یک‌بار منقضی شود:

sudo chage -M 90 username

مثال:

sudo chage -M 90 admin

تعیین حداقل زمان تغییر رمز

برای جلوگیری از تغییر مداوم رمز عبور در یک روز:

sudo chage -m 1 username

در این مثال، کاربر باید حداقل یک روز صبر کند تا بتواند دوباره رمز عبور خود را تغییر دهد.

تعیین هشدار قبل از انقضا

برای نمایش هشدار هفت روز قبل از انقضای رمز عبور:

sudo chage -W 7 username

اجبار کاربر به تغییر رمز در اولین ورود

در برخی سازمان‌ها، مدیر سیستم رمز عبور اولیه را ایجاد می‌کند.

برای اینکه کاربر در اولین ورود مجبور به تغییر رمز شود:

sudo chage -d 0 username

بررسی فایل login.defs

بسیاری از تنظیمات پیش‌فرض مربوط به رمز عبور در فایل زیر قرار دارند:

/etc/login.defs

برای ویرایش:

sudo nano /etc/login.defs

برخی از گزینه‌های مهم:

PASS_MAX_DAYS   90
PASS_MIN_DAYS   1
PASS_WARN_AGE   7

این مقادیر روی کاربران جدید تأثیر می‌گذارند.

اعمال حداقل طول و پیچیدگی رمز عبور

در بیشتر توزیع‌های لینوکس، این کار از طریق PAM انجام می‌شود.

بسته موردنیاز:

Ubuntu و Debian:

sudo apt install libpam-pwquality -y

AlmaLinux و Rocky Linux:

sudo dnf install libpwquality -y

تنظیم قوانین پیچیدگی رمز عبور

فایل تنظیمات:

/etc/security/pwquality.conf

نمونه تنظیمات:

minlen = 12

minclass = 4

maxrepeat = 3

retry = 3

در این مثال:

• حداقل طول رمز ۱۲ کاراکتر است.
• رمز باید از چهار گروه مختلف کاراکتر تشکیل شده باشد.
• تکرار بیش از سه کاراکتر یکسان مجاز نیست.
• کاربر سه بار فرصت انتخاب رمز مناسب دارد.

جلوگیری از استفاده مجدد از رمزهای قبلی

در بسیاری از سازمان‌ها، کاربران نباید بتوانند رمز عبور قبلی خود را دوباره انتخاب کنند.

این قابلیت از طریق PAM قابل تنظیم است و می‌توان تعداد رمزهای قبلی که باید به خاطر سپرده شوند را مشخص کرد.

قفل شدن حساب پس از چند ورود ناموفق

یکی از مهم‌ترین بخش‌های Password Policy، جلوگیری از حملات Brute Force است.

این قابلیت معمولاً با استفاده از PAM یا ابزارهایی مانند Fail2Ban پیاده‌سازی می‌شود.

برای مثال:

• پس از ۵ تلاش ناموفق
• حساب برای ۱۵ دقیقه قفل شود.

بهترین روش‌های مدیریت رمز عبور

برای افزایش امنیت:

• از رمزهای طولانی استفاده کنید.
• از Password Manager استفاده کنید.
• برای هر سرویس رمز متفاوت انتخاب کنید.
• رمزهای پیش‌فرض را بلافاصله تغییر دهید.
• در صورت امکان از SSH Key به جای رمز عبور استفاده کنید.
• برای حساب‌های حساس، MFA را فعال کنید.

آیا تغییر دوره‌ای رمز عبور همیشه ضروری است؟

در گذشته، بسیاری از سازمان‌ها کاربران را مجبور می‌کردند هر ۳۰ یا ۶۰ روز رمز عبور خود را تغییر دهند.

امروزه بسیاری از استانداردهای امنیتی توصیه می‌کنند:

• اگر رمز عبور قوی است و نشانه‌ای از افشای آن وجود ندارد، تغییر مداوم آن لزوماً امنیت را افزایش نمی‌دهد.
• در مقابل، استفاده از رمزهای طولانی، منحصربه‌فرد و MFA تأثیر بیشتری بر امنیت دارد.

با این حال، بسیاری از سازمان‌ها همچنان بر اساس سیاست‌های داخلی خود، زمان انقضای رمز عبور را تعیین می‌کنند.

اشتباهات رایج

برخی از اشتباهات متداول عبارت‌اند از:

• استفاده از رمزهای کوتاه
• استفاده مجدد از یک رمز در چند سرویس
• ذخیره رمز عبور در فایل‌های متنی
• استفاده از اطلاعات شخصی در رمز عبور
• غیرفعال کردن بررسی کیفیت رمز عبور
• استفاده از رمزهای پیش‌فرض برای مدت طولانی

چک‌لیست

پس از تنظیم Password Policy، موارد زیر را بررسی کنید:

• حداقل طول رمز عبور تعیین شده است.
• پیچیدگی رمز عبور فعال است.
• تاریخ انقضای رمز عبور تنظیم شده است.
• هشدار قبل از انقضا فعال است.
• کیفیت رمز عبور بررسی می‌شود.
• استفاده مجدد از رمزهای قبلی محدود شده است.
• کاربران از رمزهای پیش‌فرض استفاده نمی‌کنند.

جمع‌بندی

Password Policy یکی از مهم‌ترین بخش‌های امنیت هر سرور لینوکسی است. انتخاب رمزهای عبور قوی، اعمال قوانین مناسب برای پیچیدگی و طول رمز، بررسی کیفیت رمزهای انتخابی و مدیریت صحیح چرخه عمر آن‌ها، نقش مهمی در کاهش خطر حملات مبتنی بر رمز عبور دارند.

با این حال، رمز عبور تنها یکی از لایه‌های امنیت است. برای محافظت بهتر از سرور، بهتر است در کنار Password Policy از SSH Key Authentication، احراز هویت چندمرحله‌ای (MFA)، Fail2Ban و محدود کردن دسترسی کاربران نیز استفاده کنید تا احتمال موفقیت حملات به حداقل برسد.

کیان پور