Modification de l'algorithme par défaut pour le chiffrement de mot de passe

Par défaut, les mots de passe utilisateur sont chiffrés avec l'algorithme crypt_unix. Vous pouvez utiliser un algorithme de chiffrement plus fort, tel que MD5 ou Blowfish, en modifiant l'algorithme de chiffrement de mot de passe par défaut.

Spécification d'un algorithme de chiffrement de mot de passe

Dans cette procédure, la version BSD-Linux de l'algorithme MD5 est l'algorithme de chiffrement par défaut qui est utilisé lorsque les utilisateurs modifient leurs mots de passe. Cet algorithme est adapté à un réseau mixte de machines qui exécutent les versions Oracle Solaris, BSD et Linux d'UNIX. Pour obtenir une liste des algorithmes de mot de passe et des identificateurs d'algorithme, reportez-vous au Tableau 2-1.

1. Endossez le rôle de d'administrateur principal ou connectez-vous en tant que superutilisateur.

   Le rôle d'administrateur principal inclut le profil d'administrateur principal. Pour plus d'informations sur la création d'un rôle et son assignation à un utilisateur, reportez-vous au Chapitre 2, Utilisation de la console de gestion Solaris (tâches) du Guide d’administration système : administration de base.

2. Spécifiez l'identificateur de l'algorithme de chiffrement choisi.

   Saisissez l'identificateur en tant que valeur pour la variable CRYPT_DEFAULT du fichier /etc/security/policy.conf.

   Vous pouvez ajouter un commentaire au fichier afin d'expliquer votre choix.

   # cat /etc/security/policy.conf
   …
   CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6
   #
   # Use the version of MD5 that works with Linux and BSD systems.
   # Passwords previously encrypted with __unix__ will be encrypted with MD5
   # when users change their passwords.
   #
   #
   CRYPT_DEFAULT=__unix__
   CRYPT_DEFAULT=1

   Dans cet exemple, la configuration des algorithmes assure que l'algorithme le plus faible, crypt_unix, n'est jamais utilisé pour chiffrer un mot de passe. Les utilisateurs dont les mots de passe ont été chiffrés avec le module crypt_unix obtiennent un mot de passe chiffré par crypt_bsdmd5 lorsqu'ils changent leurs mots de passe.

   Pour plus d'informations sur la configuration des sélections d'algorithme, reportez-vous à la page de manuel policy.conf(4).

Exemple 3-6 Utilisation de l'algorithme Blowfish pour le chiffrement de mot de passe

Dans cet exemple, l'identificateur de l'algorithme Blowfish, 2a, est spécifié en tant que valeur pour la variable CRYPT_DEFAULT dans le fichier policy.conf :

CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6
#CRYPT_ALGORITHMS_DEPRECATE=__unix__
CRYPT_DEFAULT=2a

Cette configuration est compatible avec les systèmes BSD qui utilisent l'algorithme Blowfish.

Spécification d'un nouvel algorithme de mot de passe pour un domaine NIS

Lorsque les utilisateurs dans un domaine NIS modifient leurs mots de passe, le client NIS consulte sa configuration locale des algorithmes dans le fichier /etc/security/policy.conf. La machine client NIS chiffre le mot de passe.

1. Spécifiez l'algorithme de chiffrement de mot de passe dans le fichier /etc/security/policy.conf du client NIS.
2. Copiez le fichier /etc/security/policy.conf modifié sur chaque machine client dans le domaine NIS.
3. Pour éviter toute confusion, copiez le fichier /etc/security/policy.conf modifié sur le serveur root NIS et les serveurs esclaves.

Spécification d'un nouvel algorithme de mot de passe pour un domaine NIS+

Lorsque les utilisateurs dans un domaine NIS+ modifient leurs mots de passe, le service de nommage NIS+ consulte la configuration des algorithmes dans le fichier /etc/security/policy.conf sur le maître NIS+. Le maître NIS+, qui exécute le démon rpc.nispasswd, crée le mot de passe chiffré.

1. Spécifiez l'algorithme de chiffrement de mot de passe dans le fichier /etc/security/policy.conf sur le maître NIS+.
2. Pour minimiser la confusion, copiez le fichier /etc/security/policy.conf du maître NIS+ pour tous les hôtes du domaine NIS+.

Spécification d'un nouvel algorithme de mot de passe pour un domaine LDAP

Lorsque le client LDAP est configuré correctement, le client LDAP peut utiliser les nouveaux algorithmes de mot de passe. Le client LDAP se comporte exactement comme un client NIS.

1. Spécifiez un algorithme de chiffrement de mot de passe dans le fichier /etc/security/policy.conf du client LDAP.
2. Copiez le fichier policy.conf modifié pour chaque machine client dans le domaine LDAP.
3. Assurez-vous que le fichier /etc/pam.conf du client n'utilise pas un module pam_ldap.

   Assurez-vous qu'un signe de commentaire (#) précède les entrées incluant pam_ldap.so.1. En outre, n'utilisez pas la nouvelle option server_policy avec le module pam_authtok_store.so.1.

   Les entrées PAM du fichier pam.conf du client permettent de chiffrer le mot de passe en fonction de la configuration des algorithmes. Les entrées PAM permettent également l'authentification du mot de passe.

   Lorsque les utilisateurs du domaine LDAP modifient leurs mots de passe, le client LDAP consulte sa configuration locale des algorithmes dans le fichier /etc/security/policy.conf. L'ordinateur client LDAP chiffre le mot de passe. Ensuite, le client envoie le mot de passe chiffré, avec une balise {crypt}, pour le serveur. La balise indique au serveur que le mot de passe est déjà chiffré. Le mot de passe est ensuite stocké, tel quel, sur le serveur. Pour l'authentification, le client récupère le mot de passe stocké dans le serveur. Le client compare ensuite le mot de passe stocké avec la version chiffrée que le client vient de générer à partir du mot de passe saisi par l'utilisateur.

   ---

   Remarque - Pour tirer parti des commandes de stratégie de mot de passe sur le serveur LDAP, utilisez l'option server_policy avec les entrées pam_authtok_store dans le fichier pam.conf. Les mots de passe sont alors chiffrés sur le serveur en utilisant le mécanisme cryptographique de Sun Java System Directory Server. Pour plus d'informations sur cette procédure, reportez-vous au Chapitre 11, Configuration de Sun Java System Directory Server avec les clients LDAP (tâches) du Guide d’administration système : Services d’annuaire et de nommage (DNS, NIS et LDAP).

   ---

Installation d'un module de chiffrement de mot de passe tiers

Un algorithme de chiffrement de mot de passe tiers est généralement fourni sous forme de module dans un package logiciel. Lorsque vous exécutez la commande pkgadd, les scripts du fournisseur doivent modifier le fichier /etc/security/crypt.conf. Vous devez ensuite modifier le fichier /etc/security/policy.conf pour inclure le nouveau module et son identificateur.

1. Ajoutez le logiciel à l'aide de la commande pkgadd.

   Pour obtenir des instructions détaillées sur la procédure à suivre pour ajouter des logiciels, reportez-vous à la section Ajout ou suppression d’un package de logiciels (pkgadd) du Guide d’administration système : administration de base.

2. Vérifiez que le nouveau module et son identificateur ont été ajoutés.

   Lisez la liste des algorithmes de chiffrement dans le fichier /etc/security/crypt.conf.

   Par exemple, les lignes suivantes montrent qu'un module qui met en œuvre l'algorithme crypt_rot13 a été installé.

   # crypt.conf
   #
   md5 /usr/lib/security/$ISA/crypt_md5.so
   rot13 /usr/lib/security/$ISA/crypt_rot13.so
   
   # For *BSD - Linux compatibility
   # 1 is MD5,  2a is Blowfish
   1 /usr/lib/security/$ISA/crypt_bsdmd5.so
   2a /usr/lib/security/$ISA/crypt_bsdbf.so

3. Ajoutez l'identificateur de l'algorithme qui vient d'être installé au fichier /etc/security/policy.conf.

   Les lignes suivantes présentent des extraits du fichier policy.conf qui doivent être modifiés pour ajouter l'identificateur rot13.

   # Copyright 1999-2002 Sun Microsystems, Inc.  All rights reserved.
   # ...
   #ident  "@(#)policy.conf        1.12     08/05/14 SMI"
   # ...
   # crypt(3c) Algorithms Configuration
   CRYPT_ALGORITHMS_ALLOW=1,2a,md5,5,6,,rot13
   #CRYPT_ALGORITHMS_DEPRECATE=__unix__
   CRYPT_DEFAULT=md5

   Dans cet exemple, l'algorithme rot13 est utilisé si le mot de passe en cours a été chiffré avec l'algorithme crypt_rot13. Les nouveaux mots de passe utilisateur sont chiffrés avec l'algorithme crypt_sunmd5. Cette configuration d'algorithme fonctionne sur les réseaux exclusivement Solaris.