Cómo especificar un algoritmo para cifrado de contraseña

Idioma:

Antes de empezar

Debe asumir el rol root. Para obtener más información, consulte Uso de sus derechos administrativos asignados de Protección de los usuarios y los procesos en Oracle Solaris 11.2 .

En el archivo /etc/security/polic.conf, especifique el identificador para el algoritmo de cifrado seleccionado como el valor para la variable CRYPT_DEFAULT.
(Opcional) Comente el archivo para explicar su elección.
Por ejemplo:
```
# cat  /etc/security/policy.conf
…
# Sets the SHA256 (5) algorithm as default.
# SHA256 supports 255-character passwords.
# Passwords previously encrypted with MD5 (1) will be encrypted
# with SHA256 (5) when users change their passwords.
#CRYPT_DEFAULT=1
CRYPT_DEFAULT=5
```
En este ejemplo, el nuevo valor de CRYPT_DEFAULT es 5, que es SHA256, el algoritmo SHA256. SHA es la sigla en inglés correspondiente al algoritmo de hash seguro. Este algoritmo es un miembro de la familia SHA-2. SHA256 admite contraseñas de 255 caracteres.
(Opcional) Elimine el algoritmo anterior de CRYPT_ALGORITHM_ALLOWED para hacer que el nuevo algoritmo se aplique a usuarios existentes.
Por ejemplo, para asegurarse de que el algoritmo SHA256 también se aplica a los usuarios existentes, CRYPT_ALGORITHM_ALLOWED debe excluir el identificador 1 para MD5.

Notas - Además, para promover la seguridad de FIPS 140, excluya el algoritmo Blowfish (2a) de la entrada.
```
CRYPT_ALGORITHMS_ALLOW=5,6
```

Ejemplo 3-4 Restricción de algoritmos de cifrado de contraseña en un entorno heterogéneo

En este ejemplo, el administrador en una red que incluye los sistemas BSD y Linux configura las contraseñas para que se puedan usar en todos los sistemas. Debido a que algunas aplicaciones de red no pueden manejar cifrado SHA512, el administrador no incluye su identificador en la lista de algoritmos permitidos. El administrador conserva el algoritmo SHA256, 5 como valor para la variable CRYPT_DEFAULT. La variable CRYPT_ALGORITHMS_ALLOW contiene el identificador MD5, que es compatible con sistemas BSD y Linux, y el identificador Blowfish, que es compatible con sistemas BSD. Debido a que 5 es el algoritmo CRYPT_DEFAULT, no es necesario incluirlo en la lista CRYPT_ALGORITHMS_ALLOW. Sin embargo, con fines de mantenimiento, el administrador coloca 5 en la lista CRYPT_ALGORITHMS_ALLOW y los identificadores no utilizados en la lista CRYPT_ALGORITHMS_DEPRECATE.

CRYPT_ALGORITHMS_ALLOW=1,2a,5
#CRYPT_ALGORITHMS_DEPRECATE=__unix__,md5,6
CRYPT_DEFAULT=5