[Linux 보안] 계정관리 - 패스워드 복잡성 설정

[Linux 보안] 계정관리 - 패스워드 복잡성 설정

■ 대상 OS : SunOS, Linux, AIX, HP-UX

■ 위험도 : 상

■ 취약점 개요

    - 사용자 계정(root 및 일반 계정 모두 해당) 암호를 유추하기 쉽게 설정할 경우 비인가자의 시스템 접근을 허용하게 하는 위험이 존재

    - 여러 문자를 혼합한 8자리 이상의 암호를 사용하게 하여 패스워드 복잡성을 높이면 비인가자에 의해 발생하는 침입 공격 발생률을 낮출 수 있음

■ 보안대책

    - 양호 : 영문, 숫자, 특수문자가 혼합된 8자리 이상의 패스워드가 설정된 경우

    - 취약 : 영문, 숫자, 특수문자가 혼합되지 않은 8자 미만의 패스워드가 설정된 경우

■ 조치방법

    - 계정과 유사하지 않은 8자 이상의 영문, 숫자, 특수문자의 조합으로 암호 설정

■ 보안설정 방법

    ◆ OS별 점검 파일 위치 및 점검 방법

        - SunOS, Linux, HP-UX : /etc/shadow 파일 내 설정된 패스워드 점검

        - AIX : /etc/security/passwd 파일 내 설정된 패스워드 점검

    ◆ OS별 점검 파일을 열어 패스워드를 확인 한 후 아래의 보안설정 방법에 따라 설정을 변경

■ SunOS, Linux, AIX, HP-UX

    ◆ 부적절한 패스워드 유형

        1. 사전에 나오는 단어나 이들의 조합

        2. 길이가 너무 짧거나, NULL(공백)인 패스워드

        3. 키보드 자판의 일련의 나열 (예 : abcd, qwert, qaz 등)

        4. 사용자 계정 정보에서 유추 가능한 단어들

           (예 : 지역명, 부서명, 계정명, 사용자 이름의 이니셜, root, rootroot, root1234, admin 등)

    ◆ 패스워드 관리 방법

        1. 영문, 숫자, 특수문자를 조합하여 계정명과 상이한 8자 이상의 패스워드 설정

         ※ 다음 각 목의 문자 종류 중 2종류 이상을 조합하여 최소 10자리 이상 또는, 3종류 이상을 조합하여 최소 8자리 이상의 길이로 구성

             ① 영문 대문자 (26개)

             ② 영문 소문자 (26개)

             ③ 숫자 (10개)

             ④ 특수문자 (32개)

        2. 시스템마다 상이한 패스워드 사용

        3. 패스워드를 기록해 놓을 경우 변형하여 기록

        4. 가급적 자주 패스워드를 변경할 것

■ 조치 시 영향

    - 패스워드 변경 시 Web, Was, DB 연동 구간에서 문제가 발생할 수 있으므로 연동 구간에 미칠 수 있는 영향을 고려하여 적용 필요

※ 문의 사항은 메일 : jyuhm@sntkor.com 이나 070-8611-4853

문의 사항 남기기