Пакет: libpwquality

PWSCORE(1)		    Общий справочник команд		    PWSCORE(1)



NAME
       pwscore - простой настраиваемый инструмент для проверки качества пароля

SYNOPSIS
       pwscore [user]

DESCRIPTION
       pwscore — это простой инструмент для проверки качества пароля. Пароль
       читается из stdin.

       Инструмент использует библиотеку libpwquality для выполнения
       настраиваемых проверок, таких как минимальная длина, проверка на
       наличие в словарях cracklib и другие проверки.

       Если пароль не проходит какую-либо из проверок, инструмент выводит
       сообщение об ошибке; в противном случае он выводит оценку качества
       пароля в виде целого числа от 0 до 100.

       Оценка качества пароля зависит от настройки minlen в файле
       конфигурации. В общем, значения ниже 50 можно считать умеренным
       качеством, а выше — достаточно сильным. Любая проверенная на качество
       строка (особенно прошедшая обязательную проверку cracklib) должна
       выдерживать атаки по словарю, а значения выше 50 с настройкой minlen
       по умолчанию — даже быстрые атаки грубой силы.

OPTIONS
       Единственный необязательный аргумент — имя пользователя, которое
       используется для проверки схожести пароля с именем пользователя.

FILES
       /etc/security/pwquality.conf - Файл конфигурации для библиотеки
       libpwquality.

RETURN CODES
       pwscore возвращает 0 в случае успеха, ненулевое значение в случае
       ошибки.

SEE ALSO
       pwscore(1), pwquality.conf(5), pam_pwquality(8)

AUTHORS
       Tomas Mraz <tmraz@redhat.com>



Red Hat, Inc.			  2017-02-10			    PWSCORE(1)

PWQUALITY.CONF(5)	      Руководство по форматам файлов	     PWQUALITY.CONF(5)



NAME
       pwquality.conf - конфигурация для библиотеки libpwquality

SYNOPSIS
       /etc/security/pwquality.conf

       /etc/security/pwquality.conf.d/*.conf

DESCRIPTION
       pwquality.conf предоставляет способ настроить требования к качеству
       паролей по умолчанию для системных паролей. Этот файл читается
       библиотекой libpwquality и утилитами, которые используют эту
       библиотеку для проверки и генерации паролей.

       Файл имеет простой формат имя = значение с возможными комментариями,
       начинающимися с символа "#". Пробелы в начале строки, в конце строки
       и вокруг знака "=" игнорируются.

       Библиотека libpwquality сначала читает все файлы *.conf из
       каталога /etc/security/pwquality.conf.d в порядке сортировки ASCII.
       Значения одинаковых настроек переопределяются в порядке разбора
       файлов.

OPTIONS
       Возможные опции в файле:

       difok
	   Количество символов в новом пароле, которые не должны присутствовать
	   в старом пароле. (по умолчанию 1)

	   Специальное значение 0 отключает все проверки схожести нового
	   пароля со старым, кроме случая, когда новый пароль точно совпадает
	   со старым.

       minlen
	   Минимально допустимый размер для нового пароля (плюс один, если
	   кредиты не отключены, что является поведением по умолчанию). (См.
	   pam_pwquality(8).) Не может быть установлен на значение меньше 6.
	   (по умолчанию 8)

       dcredit
	   Максимальный кредит за наличие цифр в новом пароле. Если значение
	   меньше 0, это минимальное количество цифр в новом пароле.
	   (по умолчанию 0)

       ucredit
	   Максимальный кредит за наличие прописных символов в новом пароле.
	   Если значение меньше 0, это минимальное количество прописных
	   символов в новом пароле. (по умолчанию 0)

       lcredit
	   Максимальный кредит за наличие строчных символов в новом пароле.
	   Если значение меньше 0, это минимальное количество строчных
	   символов в новом пароле. (по умолчанию 0)

       ocredit
	   Максимальный кредит за наличие других символов в новом пароле.
	   Если значение меньше 0, это минимальное количество других
	   символов в новом пароле. (по умолчанию 0)

       minclass
	   Минимальное количество требуемых классов символов для нового
	   пароля (цифры, прописные, строчные, другие). (по умолчанию 0)

       maxrepeat
	   Максимальное количество одинаковых последовательных символов в
	   новом пароле. Проверка отключается, если значение равно 0.
	   (по умолчанию 0)

       maxsequence
	   Максимальная длина монотонных последовательностей символов в новом
	   пароле. Примерами таких последовательностей являются '12345' или
	   'fedcb'. Обратите внимание, что большинство таких паролей не
	   пройдут проверку на простоту, если последовательность не является
	   незначительной частью пароля. Проверка отключается, если значение
	   равно 0. (по умолчанию 0)

       maxclassrepeat
	   Максимальное количество последовательных символов одного класса в
	   новом пароле. Проверка отключается, если значение равно 0.
	   (по умолчанию 0)

       gecoscheck
	   Если значение ненулевое, проверяется, содержатся ли слова длиной
	   более 3 символов из поля GECOS записи пользователя в файле
	   passwd(5) в новом пароле. Проверка отключается, если значение равно
	   0. (по умолчанию 0)

       dictcheck
	   Если значение ненулевое, проверяется, соответствует ли пароль
	   (с возможными модификациями) слову в словаре. В настоящее время
	   проверка словаря выполняется с использованием библиотеки cracklib.
	   (по умолчанию 1)

       usercheck=N
	   Если значение ненулевое, проверяется, содержится ли имя
	   пользователя в какой-либо форме в пароле (с возможными
	   модификациями). Проверка не выполняется для имён пользователей
	   короче 3 символов. (по умолчанию 1)

       usersubstr=N
	   Если больше 3 (из-за минимальной длины в usercheck), проверяется,
	   содержится ли в пароле подстрока длиной не менее N в какой-либо
	   форме. (по умолчанию 0)

       enforcing=N
	   Если значение ненулевое, отклонять пароль, если он не проходит
	   проверки; в противном случае выводить только предупреждение. Эта
	   настройка применяется только к модулю pam_pwquality и возможно
	   другим приложениям, которые явно изменяют своё поведение на основе
	   этой настройки. Она не влияет на pwmake(1) и pwscore(1).
	   (по умолчанию 1)

       badwords
	   Список слов, разделённых пробелами, которые не должны содержаться
	   в пароле. Это дополнительные слова к проверке словаря cracklib.
	   Эта настройка также может использоваться приложениями для
	   эмуляции проверки gecos для учётных записей пользователей, которые
	   ещё не созданы.

       dictpath
	   Путь к словарям cracklib. По умолчанию используется значение
	   cracklib по умолчанию.

       retry=N
	   Запрашивать у пользователя пароль не более N раз перед возвратом
	   ошибки. По умолчанию значение равно 1.

       enforce_for_root
	   Модуль вернёт ошибку при неудачной проверке, даже если
	   пользователь, изменяющий пароль, является root. Эта опция
	   отключена по умолчанию, что означает, что root может изменить
	   пароль в любом случае, но будет выведено сообщение об ошибке.
	   Обратите внимание, что root не запрашивается на старый пароль, так
	   что проверки, сравнивающие старый и новый пароль, не выполняются.

       local_users_only
	   Модуль не будет проверять качество пароля для пользователей, которые
	   отсутствуют в файле /etc/passwd. Модуль всё равно запросит пароль,
	   чтобы следующие модули в стеке могли использовать опцию
	   use_authtok. Эта опция отключена по умолчанию.

SEE ALSO
       pwscore(1), pwmake(1), pam_pwquality(8)

AUTHORS
       Tomas Mraz <tmraz@redhat.com>



Red Hat, Inc.			  2020-08-03		     PWQUALITY.CONF(5)

PWMAKE(1)		    Общие команды руководства		     PWMAKE(1)



NAME
       pwmake - простой инструмент для генерации случайных относительно легко
       произносимых паролей

SYNOPSIS
       pwmake <entropy-bits>

DESCRIPTION
       pwmake — это простой настраиваемый инструмент для генерации случайных и
       относительно легко произносимых паролей. Инструмент позволяет указать
       количество бит энтропии, которые используются для генерации пароля.

       Энтропия извлекается из /dev/urandom.

       Минимальное количество бит — 56, что подходит для паролей в
       системах/сервисах, где атаки brute force имеют очень ограниченное
       количество попыток. 64 бита должны быть достаточными для приложений,
       где атакующий не имеет прямого доступа к файлу хэшей паролей. Для
       ситуаций, где атакующий может получить прямой доступ к хэшу пароля или
       пароль используется в качестве ключа шифрования, следует использовать
       80 до 128 бит в зависимости от вашего уровня паранойи.

       Любое значение entropy-bits вне диапазона от 56 до 256 бит будет
       скорректировано, чтобы вписаться в допустимый диапазон.

OPTIONS
       Первый и единственный аргумент — количество бит энтропии, используемое
       для генерации пароля.

FILES
       /etc/security/pwquality.conf - Файл конфигурации для библиотеки
       libpwquality.

RETURN CODES
       pwmake возвращает 0 в случае успеха, ненулевое значение в случае ошибки.

SEE ALSO
       pwscore(1), pam_pwquality(8)

AUTHORS
       Tomas Mraz <tmraz@redhat.com>



Red Hat, Inc.			  2021-04-01			     PWMAKE(1)

PAM_PWQUALITY(8)	       Linux-PAM Manual		      PAM_PWQUALITY(8)



NAME
       pam_pwquality - модуль PAM для выполнения проверки качества пароля

SYNOPSIS
       pam_pwquality.so [...]

DESCRIPTION
       Этот модуль можно подключить в стек паролей указанной службы для
       предоставления проверки силы паролей с использованием плагина. Код
       изначально был основан на модуле pam_cracklib, и модуль обратно
       совместим с его опциями.

       Действие этого модуля заключается в запросе пароля у пользователя и
       проверке его силы по сравнению с системным словарем и набором правил
       для выявления слабых выборов.

       Сначала модуль запрашивает один пароль, проверяет его силу, и если он
       считается сильным, запрашивает пароль повторно (для проверки, что он
       был введен правильно в первый раз). Если все в порядке, пароль
       передается последующим модулям для установки в качестве нового
       токена аутентификации.

       Проверки силы включают:

       Palindrome
	   Является ли новый пароль палиндромом?

       Case Change Only
	   Является ли новый пароль тем же, что и старый, с единственным
	   изменением регистра?

       Similar
	   Слишком ли новый пароль похож на старый? Это в основном
	   контролируется аргументом difok, который указывает количество
	   изменений символов (вставок, удалений или замен) между старым и
	   новым паролем, достаточное для принятия нового пароля.

       Simple
	   Слишком ли короткий новый пароль? Это контролируется 6 аргументами:
	   minlen, maxclassrepeat, dcredit, ucredit, lcredit и ocredit. См.
	   раздел аргументов для деталей о их работе и значениях по умолчанию.

       Rotated
	   Является ли новый пароль повернутой версией старого пароля?

       Same consecutive characters
	   Опциональная проверка на одинаковые последовательные символы.

       Too long monotonic character sequence
	   Опциональная проверка на слишком длинную монотонную последовательность
	   символов.

       Contains user name
	   Проверка, содержит ли пароль имя пользователя в какой-либо форме.

       Dictionary check
	   Вызывается рутина Cracklib для проверки, является ли пароль частью
	   словаря.

       Эти проверки настраиваются либо с помощью аргументов модуля, либо путем
       изменения файла конфигурации /etc/security/pwquality.conf. Аргументы
       модуля переопределяют настройки в файле конфигурации.

OPTIONS
       debug
	   Эта опция заставляет модуль записывать информацию в syslog(3) для
	   указания поведения модуля (эта опция не записывает информацию о
	   пароле в лог-файл).

       authtok_type=XXX
	   По умолчанию модуль использует следующие подсказки при запросе
	   пароля: "New UNIX password: " и "Retype UNIX password: ". Слово
	   UNIX в примере можно заменить с помощью этой опции, по умолчанию
	   оно пустое.

       retry=N
	   Запрашивать у пользователя пароль не более N раз перед возвратом
	   ошибки. Значение по умолчанию — 1.

       difok=N
	   Этот аргумент изменяет значение по умолчанию 1 для количества
	   изменений в новом пароле по сравнению со старым.

	   Специальное значение 0 отключает все проверки схожести нового пароля
	   со старым, кроме случая, когда новый пароль точно совпадает со
	   старым.

       minlen=N
	   Минимально допустимый размер для нового пароля (плюс один, если
	   кредиты не отключены, что является значением по умолчанию). Кроме
	   количества символов в новом пароле, кредит (+1 к длине) начисляется
	   за каждый разный тип символа (другие, заглавные, строчные и
	   цифры). Значение по умолчанию для этого параметра — 8. Обратите
	   внимание, что в Cracklib, который используется для проверки
	   словаря, есть пара лимитов длины: "слишком короткий" лимит 4,
	   жестко закодированный, и лимит, определяемый на этапе сборки (6),
	   который проверяется без ссылки на minlen.

       dcredit=N
	   (N >= 0) Это максимальный кредит за наличие цифр в новом пароле.
	   Если цифр меньше или равно N, каждая цифра будет засчитываться как
	   +1 для достижения текущего значения minlen. Значение по умолчанию
	   для dcredit — 0, что означает, что бонус за цифры в пароле отсутствует.

	   (N < 0) Это минимальное количество цифр, которое должно быть в
	   новом пароле.

       ucredit=N
	   (N >= 0) Это максимальный кредит за наличие заглавных букв в новом
	   пароле. Если заглавных букв меньше или равно N, каждая заглавная
	   буква будет засчитываться как +1 для достижения текущего значения
	   minlen. Значение по умолчанию для ucredit — 0, что означает, что
	   бонус за заглавные буквы в пароле отсутствует.

	   (N < 0) Это минимальное количество заглавных букв, которое должно
	   быть в новом пароле.

       lcredit=N
	   (N >= 0) Это максимальный кредит за наличие строчных букв в новом
	   пароле. Если строчных букв меньше или равно N, каждая строчная
	   буква будет засчитываться как +1 для достижения текущего значения
	   minlen. Значение по умолчанию для lcredit — 0, что означает, что
	   бонус за строчные буквы в пароле отсутствует.

	   (N < 0) Это минимальное количество строчных букв, которое должно
	   быть в новом пароле.

       ocredit=N
	   (N >= 0) Это максимальный кредит за наличие других символов в новом
	   пароле. Если других символов меньше или равно N, каждый другой
	   символ будет засчитываться как +1 для достижения текущего значения
	   minlen. Значение по умолчанию для ocredit — 0, что означает, что
	   бонус за другие символы в пароле отсутствует.

	   (N < 0) Это минимальное количество других символов, которое должно
	   быть в новом пароле.

       minclass=N
	   Минимальное количество требуемых классов символов для нового
	   пароля. Четыре класса: цифры, заглавные и строчные буквы и другие
	   символы. Отличие от проверки кредитов заключается в том, что
	   конкретный класс символов не обязателен. Вместо этого требуется N
	   из четырех классов. По умолчанию проверка отключена.

       maxrepeat=N
	   Отклонять пароли, содержащие более N одинаковых последовательных
	   символов. Значение по умолчанию — 0, что означает, что эта проверка
	   отключена.

       maxsequence=N
	   Отклонять пароли, содержащие монотонные последовательности символов
	   длиной более N. Значение по умолчанию — 0, что означает, что эта
	   проверка отключена. Примерами таких последовательностей являются
	   '12345' или 'fedcb'. Обратите внимание, что большинство таких
	   паролей не пройдут проверку простоты, если последовательность не
	   является незначительной частью пароля.

       maxclassrepeat=N
	   Отклонять пароли, содержащие более N последовательных символов
	   одного класса. Значение по умолчанию — 0, что означает, что эта
	   проверка отключена.

       gecoscheck=N
	   Если отличное от нуля, проверять, содержатся ли отдельные слова
	   длиной более 3 символов из поля GECOS файла passwd(5) пользователя
	   в новом пароле. Значение по умолчанию — 0, что означает, что эта
	   проверка отключена.

       dictcheck=N
	   Если отличное от нуля, проверять, совпадает ли пароль (с возможными
	   изменениями) со словом в словаре. В настоящее время проверка
	   словаря выполняется с помощью библиотеки cracklib. Значение по
	   умолчанию — 1, что означает, что эта проверка включена.

       usercheck=N
	   Если отличное от нуля, проверять, содержит ли пароль (с возможными
	   изменениями) имя пользователя в какой-либо форме. Значение по
	   умолчанию — 1, что означает, что эта проверка включена. Она не
	   выполняется для имен пользователей короче 3 символов.

       usersubstr=N
	   Если больше 3 (из-за минимальной длины в usercheck), проверять,
	   содержит ли пароль подстроку имени пользователя длиной не менее N
	   в какой-либо форме. Значение по умолчанию — 0, что означает, что
	   эта проверка отключена.

       enforcing=N
	   Если отличное от нуля, отклонять пароль, если он не проходит
	   проверки, в противном случае только выводить предупреждение.
	   Значение по умолчанию — 1, что означает, что слабый пароль
	   отклоняется (для не-root пользователей).

       badwords=<список слов>
	   Слова длиной более 3 символов из этого списка, разделенного
	   пробелами, индивидуально ищутся и запрещаются в новом пароле. По
	   умолчанию список пуст, что означает, что эта проверка отключена.

       dictpath=/path/to/dict
	   Эта опция позволяет указать нестандартный путь к словарям cracklib.

       enforce_for_root
	   Модуль вернет ошибку при неудачной проверке, даже если пользователь,
	   изменяющий пароль, — root. Эта опция отключена по умолчанию, что
	   означает, что для root выводится только сообщение о неудачной
	   проверке, но он может изменить пароль. Обратите внимание, что root
	   не запрашивает старый пароль, поэтому проверки, сравнивающие старый
	   и новый пароль, не выполняются.

       local_users_only
	   Модуль не будет проверять качество пароля для пользователей, не
	   присутствующих в файле /etc/passwd. Модуль все равно запрашивает
	   пароль, чтобы следующие модули в стеке могли использовать опцию
	   use_authtok. Эта опция отключена по умолчанию.

       use_authtok
	   Этот аргумент заставляет модуль не запрашивать у пользователя новый
	   пароль, а использовать тот, который предоставлен предыдущим
	   модулем пароля в стеке.

MODULE TYPES PROVIDED
       Предоставляется только тип модуля пароля.

RETURN VALUES
       PAM_SUCCESS
	   Новый пароль проходит все проверки.

       PAM_AUTHTOK_ERR
	   Новый пароль не был введен, имя пользователя не удалось определить
	   или новый пароль не проходит проверки силы.

       PAM_AUTHTOK_RECOVERY_ERR
	   Старый пароль не был предоставлен предыдущим модулем в стеке или
	   не был запрошен у пользователя. Первая ошибка может произойти, если
	   указан use_authtok.

       PAM_SERVICE_ERR
	   Произошла внутренняя ошибка.

EXAMPLES
       Для примера использования этого модуля покажем, как он может быть
       объединен со стеком пароля pam_unix(8).

	#
	# Эти строки объединяют два модуля типа пароля. В этом примере
	# пользователь получает 3 попытки ввести сильный пароль. Аргумент
	# "use_authtok" обеспечивает, что модуль pam_unix не запрашивает
	# пароль, а использует тот, который предоставлен pam_pwquality.
	#
	password required pam_pwquality.so retry=3
	password required pam_unix.so use_authtok

       Другой пример для случая, когда вы хотите использовать шифрование
       пароля sha256:

	#
	# Эти строки позволяют современным системам поддерживать пароли длиной
	# не менее 14 байт с дополнительным кредитом 2 за цифры и 2 за другие
	# символы; новый пароль должен иметь не менее трех байт, которых нет
	# в старом пароле.
	#
	password required pam_pwquality.so \
		      difok=3 minlen=15 dcredit=2 ocredit=2
	password required pam_unix.so use_authtok nullok sha256

       И вот еще один пример, если вы не хотите использовать кредиты:

	#
	# Эти строки требуют, чтобы пользователь выбрал пароль с минимальной
	# длиной 8 и с хотя бы 1 цифрой, 1 заглавной буквой и 1 другим
	# символом.
	#
	password required pam_pwquality.so \
		      dcredit=-1 ucredit=-1 ocredit=-1 lcredit=0 minlen=8
	password required pam_unix.so use_authtok nullok sha256

SEE ALSO
       pwscore(1), pwquality.conf(5), pam_pwquality(8), pam.conf(5), PAM(8)

AUTHORS
       Tomas Mraz <tmraz@redhat.com>

       Оригинальный автор модуля pam_cracklib Cristian Gafton
       <gafton@redhat.com>



Red Hat, Inc.			  2022-11-18		      PAM_PWQUALITY(8)