看到大家那么踊跃的认领研究主题，我也忍不住想认领一个。找来找去，就简要说一说Linux系统密码的攻击与防范吧。

　　在早期的Linux系统中，/etc/passwd文件含有系统每个用户的信息，当然，用户的口令经过一定的数字与逻辑算法后把一个运算结果（可见字符串）放到了passwd文件中，加密强度并不大。于是，早期黑客们只要拿到/etc/passwd这个文件，系统就已经攻入一半了。

　　后来，随着安全级别的提高，出现了passwd文件中口令单独加密的情况，密码加密后的结果和其他一些辅助信息存到了shadow文件。至于采用何种保存形式和加密算法，可以用/usr/sbin/authconfig程序来设置。

　　用户登录时输入的口令经计算后与/etc/passwd和/etc/shadow中的结果相比较，符合则允许登录，否则拒绝登录。

　　一个强壮的有效的口令应当至少有8个字符长，不要取用个人信息(如生日，名字，用户名，计算机的型号等也尽量不要在密码中连接电话号码和2002、2000、888等数字)，普通的英语单词也不好(因为可用字典攻击法)，口令中最好有一些非字母(如数字，标点符号，控制字符等)，注意尽量不要写在纸上或计算机中的文件中，选择口令的一个好方法是将不相关的字母和数字或控制字符相连，并组成不少于8位的长度。

　　为了强迫用户指定足够强壮的密码，需修改文件/etc/login.defs中参数PASS_MIN_LEN（口令最小长度）。同时应限制口令使用时间，保证定期更换口令，建议修改参数PASS_MIN_DAYS（口令使用时间）。一般的Linux设置如图1所示。

　　

【责任编辑 王凡】