系统安全之全面捍卫我的 UNIX 系统账户

如果你的账户是不安全的，那么你所采用的其它步骤就会形同虚设。关于UNIX安全、口令安全以及为每一类账户所采取的特定步骤是是需要关心的重要问题。

口令安全

一定要保障所有的用户拥有一个不可猜测的口令。为了保障所有的口令是不可猜测的，要做到口令经常改变。理想情况下，应该使用一次性的口令。

如果账户进行了连续几次错误的登录，应予以禁用。在HP系统上实施口令安全的的一个简单方法就是使用HP的信任系统组件。当然，只有你没有运行NIS 或NIS+时才是可用的。

一定要保证口令是不可描述的。通常情况下，人们可能会使用牌照号码或电话号码或人名等作为用户名。十分不幸的是，这种口令易于猜测。此外，有些人喜欢从其日常喜好中寻找口令。这都是用户应该检查避免的不安全的口令。还有，系统中无.netrc文件会强化安全。

根账户

在少数人可以访问根目录的情况下，跟踪其改变和安全性侵犯是最简单的事情，根目录口令要求是一种强健的不可猜测的口令。此外，你应该至少每三个月修改一次根口令，或者当你长时间离开公司时也该修改口令。一定要正常退出根目录命令处理程序。 千万不要让命令处理程序处于无人看管的状态。

根目录能够直接登录的唯一地方应是控制台（在/etc/securetty中设定）。只有根目录拥有UID 0。

同时要检查根目录文件的安全漏洞问题。文件别名应有完整的路径名。根目录万万不可在其路径中使用“.”。根目录dot文件只能拥有700个授权许可。

再次强调，为了避免特洛伊木马程序，一定要使用完整的路径名。千万不要将那些非根目录的写访问权限给根路径中的任何目录。如果可能的话，不要在公共可写的目录中创建根目录的tmp文件。

来宾账户

你一定只在需要的时候创建来宾账户；在目的完成之后，你需要及时清除这个账户；并且要使用非标准的来宾账户名称；不要使用“guest”；也不要使用如“fixomni”、“oratmp”之类的账户名称。

来宾账户应有一个极强的口令和受限的处理程序，如果合理的话，要给来宾账户一个强umask（如077）等。

用户账户

用户账户不应共享，在期限终止之后应清除用户账户。应禁用那些众所周知的账户名称的登录，因为这些账户不需要直接的登录访问（如，bin、daemon、sys、uucp、lp、adm）。