如何指定口令加密的算法

语言：

开始之前

您必须承担 root 角色。有关更多信息，请参见在 Oracle Solaris 11.2 中确保用户和进程的安全 中的使用所指定的管理权限。

在 /etc/security/polic.conf 文件中，作为 CRYPT_DEFAULT 变量的值指定所选加密算法的标识符。
(u53ef选) 在文件中添加注释以对选择进行说明。
例如：
```
# cat  /etc/security/policy.conf
…
# Sets the SHA256 (5) algorithm as default.
# SHA256 supports 255-character passwords.
# Passwords previously encrypted with MD5 (1) will be encrypted
# with SHA256 (5) when users change their passwords.
#CRYPT_DEFAULT=1
CRYPT_DEFAULT=5
```
在此示例中，CRYPT_DEFAULT 的新值是 5，其为 SHA256，即 SHA256 算法。SHA 是 Secure Hash Algorithm（安全散列算法）的缩写。此算法属于 SHA-2 系列。SHA256 支持 255 个字符的口令。
(u53ef选) 从 CRYPT_ALGORITHM_ALLOWED 删除以前的算法，以使新算法适合现有用户。
例如，要确保 SHA256 算法也适用于现有用户，CRYPT_ALGORITHM_ALLOWED 应该排除 MD5 的以前的标识符 1。

注 - 此外，要提升 FIPS 140 安全性，请从条目中排除 Blowfish 算法 (2a)。
```
CRYPT_ALGORITHMS_ALLOW=5,6
```

示例 3-4 在异构环境中限制口令加密算法

此示例中，包含 BSD 和 Linux 系统的网络上的管理员将口令配置为适用于所有系统。由于某些网络应用程序无法处理 SHA512 加密，因此管理员不将其标识符包含在允许的算法列表中。管理员保留 SHA256 算法，5 作为 CRYPT_DEFAULT 变量的值。CRYPT_ALGORITHMS_ALLOW 变量包含与 BSD 和 Linux 系统兼容的 MD5 标识符，以及与 BSD 系统兼容的 Blowfish 标识符。由于 5 是 CRYPT_DEFAULT 算法，因此无需在 CRYPT_ALGORITHMS_ALLOW 列表中列出。不过，为便于维护，管理员将 5 放置在了 CRYPT_ALGORITHMS_ALLOW 列表中，将未使用的标识符放置在了 CRYPT_ALGORITHMS_DEPRECATE 列表中。

CRYPT_ALGORITHMS_ALLOW=1,2a,5
#CRYPT_ALGORITHMS_DEPRECATE=__unix__,md5,6
CRYPT_DEFAULT=5