U-04(상) 패스워드 파일 보호

주요정보통신기반시설 관리기관은 -정보통신기반 보호법- 제9조에 따라, 주요정보통신기반시설로 신규 지정된 후 6개월이내, 그리고 매년 취약점 분석/평가를 실시하여야 한다. 취약점 분석/평가는 453개의 관리적/물리적/기술적 점검항목에 대한 주요정보통신기반시설의 취약여부를 점검하여, 악성코드 유포, 해킹 등 사이버 위협 대응을 위한 종합적 개선과정이다.

주요정보통신기반시설 취약점 Unix 점검 항목

■ 취약점 개요

○ 점검개요 : 시스템의 사용자 계정(root, 일반계정) 정보가 저장된 파일(예 /etc/passwd, /etc/shadow)에 사용자 계정 패스워드가 암호화되어 저장되어 있는지 점검

○ 점검목적 : 일부 오래된 시스템의 경우 패스워드 정책이 적용되지 않아 /etc/passwd 파일에 평문으로 저장되므로 사용자 계정 패스워드가 암호화되어 저장되어 있는지 점검하여 비인가자의 패스워드 파일 접근 시에도 사용자 계정 패스워드가 안전하게 관리되고 있는지 확인

○ 보안위협 : 비인가자에 의해 사용자 계정 패스워드가 평문으로 저장된 파일이 유출될 경우 시스템 사용자 계정 패스워드가 노출

○ 점검대상 : SOLARIS, LINUX, AIX, HP-UX 등

○ 판단기준

- 양호 : shadow 패스워드를 사용하거나, 패스워드를 암호화하여 저장하는 경우
- 취약 : shadow 패스워드를 사용하지 않고, 패스워드를 암호화하여 저장하지 않는 경우

 

■ 점검방법

○ SOLATIS, LINUX

/shadow 파일 존재 확인(일반적으로 /etc 디렉터리 내 존재)

#ls /etc
/etc/passwd 파일 내 두 번째 필드가 “x” 표시되는지 확인

#cat /etc/passwd
root:x:0:0:root:/root:/bin/bash

○ HP-UX

/etc/security/passwd 파일 내 설정된 패스워드 점검

■ 조치방안

○ SOLATIS, LINUX

#pwconv(shadow 패스워드 정책 적용 방법)
#pwunconv(일반 패스워드 정책 적용 방법)

vi 편집기를 이용하여 “/etc/pam.d/system-auth” 파일 열기
아래와 같이 수정 또는, 신규 삽입

auth required /lib/security/pam_tally.so deny=5 unlock_time=120
no_magic_root
account required /lib/security/pam_tally.so no_magic_root reset

○ AIX

AIX 서버는 기본적으로 “/etc/security/passwd” 파일에 패스워드를 암호화하여 저장ㆍ관리

○ HP-UX

HP-UX 서버는 Trusted Mode로 전환할 경우 패스워드를 암호화하여 “/tcb/files/auth” 디렉터리에 계정 이니셜과 계정 이름에 따라 파일로 저장ㆍ관리할 수 있으므로 Trusted Mode인지 확인 후 UnTrusted Mode인 경우 모드를 전환