주요정보통신기반시설 유닉스/리눅스 서버 U-08 패스워드 파일 보호

 

■ 개념

2021 주요정보통신기반시설 취약점 분석 및 평가 중 점검대상 유닉스(Unix) 서버의 U-08 패스워드 파일 보호 점검항목에 대해 알아보겠습니다. 해당 포스팅은 리눅스(CentOS 7)를 기준으로 진단 및 실습합니다.

 

항목명		패스워드 파일 보호
항목코드		U-08
위험도		중
점검내용		시스템의 사용자 계정(root, 일반계정) 정보가 저장된 파일(예 /etc/passwd, /etc/shadow)에 사용자 계정 패스워드가 암호화되어 저장되어 있는지 점검
점검목적		일부 오래된 시스템의 경우 /etc/passwd 파일에 패스워드가 평문으로 저장 되므로 사용자 계정 패스워드가 암호화되어 저장되어 있는지 점검하여 비인 가자의 패스워드 파일 접근 시에도 사용자 계정 패스워드가 안전하게 관리 되고 있는지 확인하기 위함

 

보안위협		사용자 계정 패스워드가 저장된 파일이 유출 또는 탈취 시 평문으로 저장된 패스워드 정보가 노출될 수 있음
판단기준	양호	쉐도우 패스워드를 사용하거나, 패스워드를 암호화하여 저장하는 경우
	취약	쉐도우 패스워드를 사용하지 않고, 패스워드를 암호화하여 저장하지 않 는 경우
조치방법		패스워드 암호화 저장∙관리 설정 적용

 

■ 실습

해당 점검항목은 유닉스 서버의 /etc/shadow 파일의 소유자 및 권한을 확인하여 양호/취약을 판단합니다. /etc/shadow 파일 같은 경우에 서버(시스템)에 등록된 모든 계정의 패스워드를 암호화된(sha-512 등) 형태로 저장하고 있는 파일이기에 소유자 및 권한 확인이 필수입니다. 아래 명령어를 통해 해당 파일의 소유자 및 권한을 확인 바랍니다.

※ /etc/shadow: 시스템에 등록된 모든 계정의 패스워드를 암호화된 형태로 저장 및 관리하고 있는 파일

 

cat /etc/shadow

• 명령어 : #ls -al /etc/shadow

shadow 파일 권한 체크

파일의 소유자는 root(관리자급 계정), 파일의 권한은 400 이하(r--------)로 설정 바랍니다. 파일의 소유자 변경은 #chown root /etc/shadow이고 파일의 권한 변경은 #chmod 400 /etc/shadow로 하면 됩니다.