Perché è un'idea terribile:
* Vulnerabilità di sicurezza enorme: Se si imposta una password predefinita, chiunque lo sappia può accedere immediatamente e prendere il controllo del sistema. Ciò include attori dannosi sulla tua rete o su Internet più ampia.
* facilmente sfruttabile: Gli hacker scansionano attivamente i sistemi con credenziali predefinite. È spesso la prima cosa che provano.
* Violazione delle politiche di sicurezza: La maggior parte delle organizzazioni ha regole rigorose contro le password predefinite. Probabilmente violi le politiche di sicurezza aziendale.
* Dati compromessi: Una volta che un utente malintenzionato è dentro, può rubare, modificare o eliminare dati sensibili.
* Infezione del sistema: Un sistema compromesso può essere utilizzato come lancio per attacchi ad altri sistemi.
Come è * tecnicamente * possibile (ma non farlo per i sistemi di produzione):
1. usando `passwd` con` --stdin` (durante la configurazione del sistema):
Questo viene spesso utilizzato nelle build di sistema automatizzate o nelle installazioni di Kickstart. È possibile includere uno script che utilizza `passwd` con l'opzione` --stdin` per impostare una password.
`` `Bash
echo "default_password" | passwd --stdin user_account
`` `
* Sostituisci `default_password` con la password effettiva che tu (stupidamente) vuoi usare.
* Sostituisci `user_account` con il nome dell'utente a cui si desidera assegnare la password a (ad esempio,` root`).
Importante:questo * deve essere fatto durante la configurazione del sistema iniziale * prima di * il sistema è collegato a qualsiasi rete. Cambia immediatamente la password in una password univoca forte e univoca * dopo * il primo accesso.
2. Modifica `/etc/shadow` (manipolazione hash della password diretta):
Questo è il metodo * più * pericoloso e complicato. Dovresti:
* Genera l'hash password (utilizzando `OpenSSL Passwd` o uno strumento simile).
* Modifica direttamente il file `/etc/shadow` (avrai bisogno di privilegi di root). Questo file contiene gli hash della password crittografati e altre informazioni sull'account.
* Modifica errata di `/etc/shadow` può bloccarti completamente dal sistema.
Questo non è raccomandato in nessuna circostanza a meno che tu non abbia a che fare con un sistema rotto e devi recuperare l'accesso. Anche allora, sii estremamente attento.
Alternative molto migliori (usali invece!):
* Per build di sistema automatizzato (kickstart, jumpstart):
* Genera password casuali: Utilizzare uno script per generare una password resistente e casuale per ciascun sistema. Memorizza le password in modo sicuro (crittografato) e distribuile al personale autorizzato.
* Primo script di avvio per forzare la modifica della password: Crea uno script che funziona al primo avvio del sistema. Questo script dovrebbe * forzare * l'utente (specialmente `root`) di modificare immediatamente la password. Questa è una pratica comune ed efficace.
* Autenticazione della chiave pubblica (chiavi SSH): Invece di password, utilizzare i tasti SSH. Questo è significativamente più sicuro. È possibile distribuire le chiavi pubbliche sul file di account utente "Authorized_keys durante la build del sistema.
* Per i singoli sistemi:
* password forti e univoci: Scegli password forti (lunghe, complesse, casuali) che sono * univoci * per ogni sistema. Utilizzare un gestore di password per aiutarti a generare e archiviare le password in modo sicuro.
* Modifiche a password regolari: Implementare una politica di modifiche a password regolari (ad es. Ogni 90 giorni).
* Autenticazione a più fattori (MFA): Quando possibile, abilita MFA (ad es. Utilizzo di un'app TOTP come Google Authenticator o Authy). Questo aggiunge un ulteriore livello di sicurezza oltre le password.
* Disabilita l'accesso SSH basato su password (se si utilizza i tasti SSH): Una volta configurate le chiavi SSH, disabilita gli accessi basati su password in `/etc/ssh/sshd_config` impostando` passwordautenticazione no '. Ciò impedisce agli aggressori di provare a forzare le password.
Esempio di generazione di una password casuale in uno script:
`` `Bash
#!/bin/bash
Password =$ (OpenSSL RAND -Base64 16)
Echo "$ password" | Passwd --stdin Newuser
Echo "Password generata per newUser:$ password"
`` `
TakeAways chiave:
* mai, mai usa una password predefinita su un sistema che sarà connessa a una rete.
* Dai la priorità alla sicurezza per comodità.
* Usa password forti, chiavi SSH e MFA quando possibile.
* Automatizza la generazione e la distribuzione delle password durante le build di sistema.
* Forzare le modifiche alla password al primo accesso.
Se descrivi * perché * pensi di aver bisogno di una password predefinita, posso darti soluzioni più specifiche e sicure.
Domanda © www.354353.com