DEV Community: Salsa Nabila

Mengelola Kata Sandi Pengguna

Salsa Nabila — Mon, 01 Apr 2024 03:06:05 +0000

kata sandi terenkripsi dipindahkan ke /etc/shadowfile terpisah yang hanya dapat dibaca oleh __root. File baru ini juga memungkinkan penerapan fitur penuaan dan kedaluwarsa kata sandi.

Seperti /etc/passwd, setiap pengguna memiliki baris dalam /etc/shadowfile. Contoh baris /etc/shadowdengan sembilan bidang yang dipisahkan titik dua ditunjukkan di bawah.

Format Kata Sandi Terenkripsi
Kolom kata sandi terenkripsi menyimpan tiga informasi: algoritma hashing yang digunakan, salt, dan hash terenkripsi. Setiap informasi dibatasi oleh tanda $.

Mengonfigurasi Penuaan Kata Sandi

Diagram berikut ini menghubungkan parameter penuaan kata sandi yang relevan, yang dapat disesuaikan dengan menggunakan perintah chage untuk menerapkan kebijakan penuaan kata sandi.

[user01@host ~]$ sudo chage -m 0 -M 90 -W 7 -I 14 user03

Perintah chage sebelumnya menggunakan opsi -m, -M, -W, dan -Iuntuk mengatur masing-masing usia minimum, usia maksimum, periode peringatan, dan periode tidak aktif kata sandi pengguna.

Perintah chage -d 0 user03 memaksa user03pengguna untuk memperbarui kata sandinya pada login berikutnya.

Perintah chage -l user03 menampilkan rincian umur kata sandi user03.

Perintah chage -E 2019-08-05 user03 menyebabkan user03akun pengguna kedaluwarsa pada 05-08-2019 (dalam format YYYY-MM-DD).

Catatan

Perintah tanggal dapat digunakan untuk menghitung tanggal di masa depan. Opsi ini -umelaporkan waktu dalam UTC.

[user01@host ~]$ date -d "+45 days" -u
Thu May 23 17:01:20 UTC 2019

Membatasi Akses

Anda dapat menggunakan perintah chage untuk menetapkan tanggal kedaluwarsa akun. Ketika tanggal tersebut tercapai, pengguna tidak dapat login ke sistem secara interaktif. Perintah usermod dapat mengunci akun dengan -Lopsi tersebut.

[user01@host ~]$ sudo usermod -L user03
[user01@host ~]$ su - user03
Password: redhat
su: Authentication failure

Jika pengguna keluar dari perusahaan, administrator dapat mengunci dan mengakhiri masa berlaku akun dengan satu perintah usermod . Tanggal harus diberikan sebagai jumlah hari sejak 01-01-1970, atau dalam YYYY-MM-DD format.

[user01@host ~]$ sudo usermod -L -e 2019-10-05 user03

[user01@host ~]$ usermod -s /sbin/nologin user03
[user01@host ~]$ su - user03
Last login: Wed Feb  6 17:03:06 IST 2019 on pts/0
This account is currently not available.

Customizing OpenSSH Service Configuration

Salsa Nabila — Tue, 19 Mar 2024 15:51:29 +0000

Configuring the OpenSSH Server

OpenSSH service is provided by a daemon called sshd. Its main configuration file is /etc/ssh/sshd_config.

The default configuration of the OpenSSH server works well. However, you might want to make some changes to strengthen the security of your system. There are two common changes you might want to make. You might want to prohibit direct remote login to the root account, and you might want to prohibit password-based authentication (in favor of SSH private key authentication).

Prohibit the Superuser From Logging in Using SSH

It is a good practice to prohibit direct login to the root user account from remote systems. Some of the risks of allowing direct login as root include:

The user name root exists on every Linux system by default, so a potential attacker only has to guess the password, instead of a valid user name and password combination. This reduces complexity for an attacker.
The root user has unrestricted privileges, so its compromise can lead to maximum damage to the system.
From an auditing perspective, it can be hard to track which authorized user logged in as root and made changes. If users have to log in as a regular user and switch to the root account, this generates a log event that can be used to help provide accountability.

The OpenSSH server uses the PermitRootLogin configuration setting in the /etc/ssh/sshd_config configuration file to allow or prohibit users logging in to the system as root.

PermitRootLogin yes

With the PermitRootLogin parameter to yes, as it is by default, people are permitted to log in as root. To prevent this, set the value to no. Alternatively, to prevent password-based authentication but allow private key-based authentication for root, set the PermitRootLogin parameter to without-password.

The SSH server (sshd) must be reloaded for any changes to take effect.

`[root@host ~]# systemctl reload sshd`

Prohibiting Password-Based Authentication for SSH

Allowing only private key-based logins to the remote command line has various advantages:

Attackers cannot use password guessing attacks to remotely break into known accounts on the system.
With passphrase-protected private keys, an attacker needs both the passphrase and a copy of the private key. With passwords, an attacker just needs the password.
By using passphrase-protected private keys in conjunction with ssh-agent, the passphrase is exposed less frequently since it is entered less frequently, and logging in is more convenient for the user.

The OpenSSH server uses the PasswordAuthentication parameter in the /etc/ssh/sshd_config configuration file to control whether users can use password-based authentication to log in to the system.

PasswordAuthentication yes

Keep in mind that whenever you change the /etc/ssh/sshd_config file, you must reload the sshd service for changes to take effect.

Managing Files From the Command Line

Salsa Nabila — Tue, 19 Mar 2024 15:03:13 +0000

The File-system Hierarchy
All files on a Linux system are stored on file systems, which are organized into a single inverted tree of directories, known as a file-system hierarchy. This tree is inverted because the root of the tree is said to be at the top of the hierarchy, and the branches of directories and subdirectories stretch below the root.

The / directory is the root directory at the top of the file-system hierarchy. The / character is also used as a _directory _separator in file names. For example, if etc is a subdirectory of the / directory, you could refer to that directory as /etc. Likewise, if the /etc directory contained a file named issue, you could refer to that file as /etc/issue.

Subdirectories of / are used for standardized purposes to organize files by type and purpose. This makes it easier to find files. For example, in the root directory, the subdirectory /boot is used for storing files needed to boot the system.

Note

The following terms help to describe file-system directory contents:

static content remains unchanged until explicitly edited or reconfigured.
dynamic or variable content may be modified or appended by active processes.
persistent content remains after a reboot, like configuration settings.
runtime content is process- or system-specific content that is deleted by a reboot.

The following table lists some of the most important directories on the system by name and purpose.

Important

In Red Hat Enterprise Linux 7 and later, four older directories in / have identical contents to their counterparts located in /usr:

/bin and /usr/bin
/sbin and /usr/sbin
/lib and /usr/lib
/lib64 and /usr/lib64

In earlier versions of Red Hat Enterprise Linux, these were distinct directories containing different sets of files.

In Red Hat Enterprise Linux 7 and later, the directories in / are symbolic links to the matching directories in /usr.

Mengontrol Akses ke File

Salsa Nabila — Tue, 19 Mar 2024 04:04:34 +0000

File memiliki tiga kategori pengguna yang izinnya berlaku. File tersebut dimiliki oleh pengguna, biasanya orang yang membuat file tersebut. File juga dimiliki oleh satu grup, biasanya grup utama pengguna yang membuat file, namun hal ini dapat diubah. Izin yang berbeda dapat diatur untuk pengguna pemilik, grup pemilik, dan untuk semua pengguna lain di sistem yang bukan pengguna atau anggota grup pemilik.

Tiga kategori izin berlaku: read, write, dan execute. Tabel berikut menjelaskan bagaimana izin ini memengaruhi akses ke file dan direktori.

Izin file Linux bekerja secara berbeda dari sistem izin yang digunakan oleh sistem file NTFS untuk Microsoft Windows.

Di Linux, izin hanya berlaku untuk file atau direktori tempat izin tersebut ditetapkan. Artinya, izin pada suatu direktori tidak diwarisi secara otomatis oleh subdirektori dan file di dalamnya. Namun, izin pada direktori dapat memblokir akses ke konten direktori tergantung pada seberapa ketat izin tersebut.

Izin read pada direktori di Linux kira-kira setara dengan Daftar isi folder di Windows.
Izin write pada direktori di Linux setara dengan Memodifikasi di Windows; itu menyiratkan kemampuan untuk menghapus file dan subdirektori. Di Linux, jika write dan sticky bit keduanya diatur pada sebuah direktori, maka hanya pemilik file atau subdirektori yang dapat menghapusnya, serupa dengan perilaku izin Windows Write.

*Pengguna root Linux memiliki izin Kontrol Penuh * Windows yang setara pada semua file. Namun, akses root mungkin dibatasi oleh kebijakan SELinux sistem menggunakan konteks keamanan proses dan file. SELinux akan dibahas pada kursus selanjutnya.

Melihat Izin dan Kepemilikan File dan Direktori

Opsi -lperintah ls menunjukkan informasi rinci tentang izin dan kepemilikan:

[user@host~]$ ls -l test
-rw-rw-r--. 1 student student 0 Feb  8 17:36 test

Gunakan -d opsi untuk menampilkan informasi rinci tentang direktori itu sendiri, dan bukan isinya.

[user@host ~]$ ls -ld /home
drwxr-xr-x. 5 root root 4096 Jan 31 22:00 /home

Karakter pertama dari daftar panjang adalah jenis file, diartikan seperti ini:

- adalah file biasa.
d adalah direktori.
l adalah tautan lunak.

Karakter lain mewakili perangkat keras ( b dan c) atau file tujuan khusus lainnya ( p dan s).

Sembilan karakter berikutnya adalah izin file. Ini ada dalam tiga set tiga karakter: izin yang berlaku untuk pengguna yang memiliki file, grup yang memiliki file, dan semua pengguna lainnya. Jika kumpulan menunjukkan rwx, kategori tersebut memiliki ketiga izin, baca, tulis, dan jalankan. Jika ada huruf yang diganti dengan -, maka kategori tersebut tidak mempunyai izin tersebut.

Setelah penghitungan tautan, nama depan menentukan pengguna pemilik file, dan nama kedua grup pemilik file.

Jadi pada contoh di atas, izin untuk pengguna studentditentukan oleh kumpulan tiga karakter pertama. Pengguna studenttelah membaca dan menulis test, tetapi belum mengeksekusi.

Grup studentditentukan oleh kumpulan tiga karakter kedua: ia juga telah membaca dan menulis test, tetapi tidak mengeksekusi.

Izin pengguna lain ditentukan oleh rangkaian tiga karakter ketiga: mereka hanya memiliki izin membaca di test.

Kumpulan izin yang paling spesifik berlaku. Jadi jika pengguna studentmemiliki izin yang berbeda dari grup student, dan pengguna studentjuga merupakan anggota grup tersebut, maka izin penggunalah yang berlaku.

Contoh Efek Permission

Contoh berikut akan membantu mengilustrasikan bagaimana izin file berinteraksi. Untuk contoh ini, kami memiliki empat pengguna dengan keanggotaan grup berikut:

Pengguna tersebut akan bekerja dengan file di dirdirektori. Ini adalah daftar panjang file-file di direktori itu:

[database1@host dir]$ ls -la
total 24
drwxrwxr-x.  2 database1 consultant1   4096 Apr  4 10:23 .
drwxr-xr-x. 10 root      root          4096 Apr  1 17:34 ..
-rw-rw-r--.  1 operator1 operator1     1024 Apr  4 11:02 lfile1
-rw-r--rw-.  1 operator1 consultant1   3144 Apr  4 11:02 lfile2
-rw-rw-r--.  1 database1 consultant1  10234 Apr  4 10:14 rfile1
-rw-r-----.  1 database1 consultant1   2048 Apr  4 10:18 rfile2

Opsi ini -a menunjukkan izin file tersembunyi, termasuk file khusus yang digunakan untuk mewakili direktori dan induknya. Dalam contoh ini, .mencerminkan izin dirinya sendiri, dan ..izin direktori induknya.

Apa izinnya rfile1? Pengguna yang memiliki file ( database1) telah membaca dan menulis tetapi tidak mengeksekusi. Grup yang memiliki file ( consultant1) telah membaca dan menulis tetapi tidak mengeksekusi. Semua pengguna lain telah membaca tetapi belum menulis atau mengeksekusi.

Tabel berikut mengeksplorasi beberapa dampak kumpulan izin ini bagi pengguna ini: