Ändern des Standardalgorithmus zur Passwortverschlüsselung

Standardmäßig werden Benutzerpasswörter mit crypt_unix-Algorithmen verschlüsselt. Sie können statt des Standard-Verschlüsselungsalgorithmus auch einen stärkeren Algorithmus wie MD5 oder Blowfish verwenden.

So geben Sie einen Algorithmus zur Passwortverschlüsselung an

In diesem Verfahren ist die BSD-Linux-Version des MD5-Algorithmus der Standard-Verschlüsselungsalgorithmus, der verwendet wird, wenn Benutzer ihr Passwort ändern. Dieser Algorithmus ist für ein Netzwerk mit Rechnern geeignet, auf denen die Oracle Solaris-, BSD- und Linux-Versionen von UNIX ausgeführt werden. Eine Liste von Passwortverschlüsselungsalgorithmen und Algorithmuskennungen finden Sie in Tabelle 2-1.

Nehmen Sie die Rolle "Primary Administrator" an, oder melden Sie sich als Superuser an.
Die Rolle "Primary Administrator" enthält das gleichnamige Profil. Informationen zum Erstellen von Rollen und Zuweisen von Rollen zu Benutzern finden Sie in Kapitel 2, Working With the Solaris Management Console (Tasks) in System Administration Guide: Basic Administration.
Geben Sie die Kennung für den gewünschten Verschlüsselungsalgorithmus an.
Geben Sie die Kennung als Wert der Variablen CRYPT_DEFAULT in der Datei /etc/security/policy.conf ein.
Sie sollten einen Kommentar in die Datei einfügen, um Ihre Wahl zu erläutern.
```
# cat /etc/security/policy.conf
…
CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6
#
# Use the version of MD5 that works with Linux and BSD systems.
# Passwords previously encrypted with __unix__ will be encrypted with MD5
# when users change their passwords.
#
#
CRYPT_DEFAULT=__unix__
CRYPT_DEFAULT=1
```
In diesem Beispiel stellt die Algorithmuskonfiguration sicher, dass der schwächste Algorithmus, crypt_unix, nicht zum Verschlüsseln von Passwörtern verwendet wird. Benutzer, deren Passwörter mit dem Modul crypt_unix verschlüsselt wurden, erhalten ein mit crypt_bsdmd5 verschlüsseltes Passwort, wenn sie ihr Passwort ändern.
Weitere Informationen zur Konfiguration von Algorithmusoptionen finden Sie auf der Manpage policy.conf(4).

Beispiel 3-6 Verwenden des Blowfish-Algorithmus zur Passwortverschlüsselung

In diesem Beispiel ist die Kennung für den Blowfish-Algorithmus, 2a, als Wert der Variablen CRYPT_DEFAULT in der Datei policy.conf angegeben:

CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6
#CRYPT_ALGORITHMS_DEPRECATE=__unix__
CRYPT_DEFAULT=2a

Diese Konfiguration ist mit BSD-Systemen kompatibel, die den Blowfish-Algorithmus verwenden.

So geben Sie einen neuen Passwortalgorithmus für eine NIS-Domain an

Wenn ein Benutzer in einer NIS-Domain sein Passwort ändert, ruft der NIS-Client die lokale Algorithmuskonfiguration in der Datei /etc/security/policy.conf ab. Der NIS-Clientrechner verschlüsselt das Passwort.

Geben Sie den Passwortverschlüsselungsalgorithmus in die Datei /etc/security/policy.conf auf dem NIS-Client ein.
Kopieren Sie die Datei /etc/security/policy.conf auf alle Clientrechner in der NIS-Domain.
Um Verwechslungen zu vermeiden, kopieren Sie die geänderte Datei /etc/security/policy.conf auf den NIS-Root-Server und die Slave-Server.

So geben Sie einen neuen Passwortalgorithmus für eine NIS+-Domain an

Wenn ein Benutzer in einer NIS+-Domain sein Passwort ändert, ruft der NIS+ Naming Service die Algorithmuskonfiguration in der Datei /etc/security/policy.conf auf dem NIS+-Master ab. Der NIS+-Master, der den Dämon rpc.nispasswd ausführt, erstellt das verschlüsselte Passwort.

Geben Sie den Passwortverschlüsselungsalgorithmus in die Datei /etc/security/policy.conf auf dem NIS+-Master ein.
Um Verwechslungen zu vermeiden, kopieren Sie die Datei /etc/security/policy.conf des NIS+-Masters auf jeden Host in der NIS+Domain.

So geben Sie einen neuen Passwortalgorithmus für eine LDAP-Domain an

Wenn der LDAP-Client richtig konfiguriert ist, kann er die neuen Passwortalgorithmen verwenden. Der LDAP-Client verhält sich wie ein NIS-Client.

Geben Sie einen Passwortverschlüsselungsalgorithmus in der Datei /etc/security/policy.conf auf dem LADP-Client an.
Kopieren Sie die Datei policy.conf auf alle Clientrechner in der LDAP-Domain.
Stellen Sie sicher, dass die Datei /etc/pam.conf des Clients nicht das Modul pam_ldap verwendet.
Stellen Sie sicher, dass ein Kommentarzeichen (#) allen Einträgen vorangestellt ist, die pam_ldap.so.1 enthalten. Verwenden Sie die neue Option server_policy nicht in Verbindung mit dem Modul pam_authtok_store.so.1.
Die PAM-Einträge in der Datei pam.conf des Clients ermöglichen, dass das Passwort entsprechend der lokalen Algorithmuskonfiguration verschlüsselt wird. Die PAM-Einträge ermöglichen außerdem die Authentifizierung des Passworts.
Wenn ein Benutzer in einer LDAP-Domain sein Passwort ändert, ruft der LDAP-Client die lokale Algorithmuskonfiguration in der Datei /etc/security/policy.conf ab. Der LDAP-Clientrechner verschlüsselt das Passwort. Dann sendet der Client das verschlüsselte Passwort mit einem {crypt}-Tag an den Server. Durch das Tag wird dem Server mitgeteilt, dass das Passwort bereits verschlüsselt ist. Das Passwort wird dann ohne nochmalige Verschlüsselung auf dem Server gespeichert. Zur Authentifizierung ruft der Client das gespeicherte Passwort auf dem Server ab. Der Client vergleicht dann das gespeicherte Passwort mit der verschlüsselten Version, die der Client zuvor aus dem vom Benutzer eingegebenen Passwort generiert hat.

Hinweis - Um die Passwort-Richtliniensteuerung auf dem LDAP-Server zu nutzen, verwenden Sie die Option server_policy in Verbindung mit den pam_authtok_store-Einträgen in der Datei pam.conf. Die Passwörter werden auf dem Server mithilfe des kryptografischen Mechanismus von Sun Java System Directory Server verschlüsselt. Das Verfahren wird in Kapitel 11, Einrichten von Sun Java System Directory Server mit LDAP-Clients (Aufgaben) in Systemverwaltungshandbuch: Naming Services und Directory Services (DNS, NIS und LDAP) beschrieben.

So installieren Sie ein Passwortverschlüsselungsmodul eines anderen Anbieters

Ein Passwortverschlüsselungsalgorithmus eines anderen Anbieters wird typischerweise als Modul in einem Softwarepaket bereitgestellt. Wenn Sie den Befehl pkgadd ausführen, wird die Datei /etc/security/crypt.conf von Skripten des Anbieters geändert. Fügen Sie anschließend der Datei /etc/security/policy.conf das neue Modul und dessen Kennung hinzu.

Fügen Sie die Software mit dem Befehl pkgadd hinzu.
Ausführliche Anweisungen zum Hinzufügen von Software finden Sie unter Adding or Removing a Software Package (pkgadd) in System Administration Guide: Basic Administration.
Vergewissern Sie sich, dass das neue Modul und die Modulkennung hinzugefügt wurden.
Lesen Sie die Liste der Verschlüsselungsalgorithmen in der Datei /etc/security/crypt.conf.
Die folgenden Zeilen zeigen beispielsweise, dass ein Modul zur Implementierung des Algorithmus crypt_rot13 installiert wurde.
```
# crypt.conf
#
md5 /usr/lib/security/$ISA/crypt_md5.so
rot13 /usr/lib/security/$ISA/crypt_rot13.so

# For *BSD - Linux compatibility
# 1 is MD5,  2a is Blowfish
1 /usr/lib/security/$ISA/crypt_bsdmd5.so
2a /usr/lib/security/$ISA/crypt_bsdbf.so
```
Fügen Sie die Kennung des neu installierten Algorithmus der Datei /etc/security/policy.conf hinzu.
Die folgenden Zeilen zeigen Auszüge der Datei policy.conf, die geändert werden müssen, um die Kennung rot13 hinzuzufügen.
```
# Copyright 1999-2002 Sun Microsystems, Inc.  All rights reserved.
# ...
#ident  "@(#)policy.conf        1.12     08/05/14 SMI"
# ...
# crypt(3c) Algorithms Configuration
CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6,,rot13
#CRYPT_ALGORITHMS_DEPRECATE=__unix__
CRYPT_DEFAULT=md5
```
In diesem Beispiel wird der Algorithmus rot13 verwendet, wenn das aktuelle Passwort mit dem Algorithmus crypt_rot13 verschlüsselt wurde. Die Passwörter neuer Benutzer werden mit dem Algorithmus crypt_sunmd5 verschlüsselt. Diese Algorithmuskonfiguration funktioniert bei reinen Solaris-Netzwerken.

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: Sicherheitsservices