Безопасность сервера / Ступень 4 из 10 · шаг 7 из 8

Пароль может быть любым

~30 мин

Не запущена Запускается обычно ~20 с

Ситуация

На сервер приходят стажёры. Учётную запись им заводят с временным паролем, дальше каждый меняет его сам командой passwd. Стажёр intern поставил себе qwerty12 — система не возразила. Подбирать пароль тоже можно сколько угодно: неверные пароли в su ничем не грозят.

Ты администратор: входишь по ключу (ssh localhost) и работаешь через sudo. Проверять, что получилось, удобно на учётной записи стажёра: su - intern, пароль qwerty12.

Задача

Командой passwd пользователь не может задать себе пароль короче 12 символов или меньше чем из трёх классов символов (строчные, заглавные, цифры, прочие). Пароль по этим правилам принимается.
Правила записаны в /etc/security/pwquality.conf (или в файле каталога /etc/security/pwquality.conf.d/) — их видит pwscore.
После трёх неверных паролей подряд учётная запись блокируется для любого входа по паролю: консоль, su, sudo. Успешный вход до блокировки обнуляет счётчик.
Твой доступ не пострадал: вход student по ключу, sudo и вход в консоль работают как раньше.

Ошибка в /etc/pam.d может закрыть и вход, и sudo. Правь PAM из root-оболочки sudo -i и не выходи из неё, пока su - student -c 'sudo -n true' не завершится без ошибки. Интернета на машине нет, всё нужное уже установлено.

Цели лабы

0 из 4

pwscore отклоняет пароли короче 12 символов и меньше чем из трёх классов, а пароль по правилам принимает — ещё не проверялась
passwd не даёт пользователю задать слабый пароль, а пароль по правилам принимает — ещё не проверялась
Три неверных пароля подряд блокируют учётную запись при любом входе по паролю, успешный вход обнуляет счётчик — ещё не проверялась
student входит по ключу, sudo и вход в консоль работают как раньше — ещё не проверялась

Подсказки

открыто 0 из 3 · открываются по одной

Подсказка 1

Показать решение после 3 неудачных проверок

Для запуска машины нужен вход

Машина запускается на твой аккаунт, там же хранится прогресс. Читать можно без входа.

После входа вернёшься на эту лабу.

Пользователи и права · подобрано по лабе

passwd — сменить или заблокировать пароль

Шпаргалка

$_ — вставить в терминал

passwd сменить свой пароль
sudo passwd alice задать пароль другому, без старого
sudo passwd -S alice состояние пароля
sudo passwd -l alice заблокировать вход по паролю
sudo passwd -u alice разблокировать
sudo passwd -e alice сменить пароль при следующем входе
sudo passwd -d alice удалить пароль (вход без пароля!)
sudo passwd -x 90 -w 7 alice срок пароля 90 дней, предупредить за 7
echo 'alice:NewPass-2026' | sudo chpasswd из скрипта

Сроки пароля подробнее и нагляднее показывает chage (chage -l alice). Полный список ключей — man passwd.

Временный пароль для нового сотрудника

bash

sudo passwd alice          # задать временный
sudo passwd -e alice       # при первом входе система попросит новый

Заблокировать вход, не удаляя учётку

bash

sudo passwd -l alice                  # пароль больше не подходит
sudo usermod -s /usr/sbin/nologin alice   # и интерактивный вход закрыт
sudo chage -E 0 alice                 # или учётка истекла целиком

passwd -l закрывает только вход по паролю: ключ SSH продолжит работать. Чтобы закрыть вход полностью, нужен ещё nologin или chage -E 0.

Пароли для нескольких пользователей сразу

bash

sudo chpasswd <<'EOF'
alice:Temp-Pass-1
bob:Temp-Pass-2
EOF

chpasswd читает пары имя:пароль. Не оставляй такие строки в истории оболочки и файлах: это пароли открытым текстом.

passwd: Authentication token manipulation error

passwd не смог сменить пароль. Причины по частоте: неверно введён текущий пароль; два ввода нового не совпали (строкой выше — Sorry, passwords do not match.); новый пароль не прошёл проверку — короткий, простой или похож на старый. Если ошибка у root и пароль точно ни при чём — проверь, что корень не смонтирован только для чтения (findmnt /) и что на нём есть место (df -h /).

passwd: password unchanged

Итоговая строка после любой такой неудачи. Причину называет строка над ней.

passwd: You may not view or modify password information

Обычный пользователь пытается посмотреть или сменить чужой пароль. Нужен root: sudo passwd -S alice.

После passwd -l пользователь всё равно входит

Он входит по ключу SSH: блокировка пароля ключи не трогает. Закрой вход через sudo usermod -s /usr/sbin/nologin alice или sudo chage -E 0 alice.

Ввожу пароль, а на экране ничего не появляется

Так и задумано: пароль не показывается. Набери его целиком и нажми Enter; если сбился — Ctrl+U сотрёт набранное.

`passwd -d` открывает вход без пароля

После passwd -d у учётной записи пустой пароль, и в зависимости от настроек PAM и SSH в неё можно войти, ничего не вводя. Если нужно запретить пароль, используй passwd -l, а не -d.

Пароль root

sudo passwd root включает вход под root по паролю: в Ubuntu он по умолчанию выключен, и администрирование идёт через sudo. Не включай его без причины.

Пароль может быть любым

Ситуация

Задача

Для запуска машины нужен вход

Временный пароль для нового сотрудника

Заблокировать вход, не удаляя учётку

Пароли для нескольких пользователей сразу

passwd: Authentication token manipulation error

passwd: password unchanged

passwd: You may not view or modify password information

После passwd -l пользователь всё равно входит

Ввожу пароль, а на экране ничего не появляется

passwd -d открывает вход без пароля

Пароль root

`passwd -d` открывает вход без пароля