Polítiques de Contrasenyes: Què són i Com Implementar-les
Les polítiques de contrasenyes són un conjunt de normes que regulen la creació, gestió i ús de contrasenyes dins d’una organització o sistema. L’objectiu és garantir la seguretat dels accessos als sistemes per prevenir intrusions i protegir les dades. En una xarxa amb tres segments interconnectats per routers, amb servidors i clients, les polítiques de contrasenyes són essencials per a la protecció de la infraestructura.
Aspectes d’una Política de Contrasenyes
1. Normes de Creació de Contrasenyes
Per garantir la robustesa de les contrasenyes:
Llargada mínima: Com a mínim 8-12 caràcters.
Complexitat:
Incloure majúscules, minúscules, números i caràcters especials.
Evitar paraules del diccionari o patrons comuns (p. ex., “12345”).
Prohibició de contrasenyes reutilitzades: No es poden repetir contrasenyes anteriors.
Exemple pràctic: En un servidor Windows, configura les polítiques de contrasenyes al Active Directory:
Accedeix a la consola Group Policy Management.
Defineix normes a Password Policy, incloent:
Minimum Password Length.
Password Complexity Requirements.
2. Gestió de Caducitat
Freqüència de canvi: Les contrasenyes han de caducar cada 60-90 dies.
Històric de contrasenyes: Impedeix que es reutilitzin les últimes 5-10 contrasenyes.
Exemple pràctic: En un sistema Linux, edita el fitxer /etc/login.defs per establir la caducitat:
bash
Copy code
PASS_MAX_DAYS 90
PASS_MIN_DAYS 7
PASS_WARN_AGE 14
3. Gestió d’Errors i Blocatges
Intents fallits limitats: Permet només 3-5 intents fallits abans de bloquejar l’usuari.
Temps de bloqueig: L’usuari queda bloquejat durant 10-30 minuts.
Alertes: Notifica a l’administrador en cas de múltiples intents fallits.
Exemple pràctic: En un servidor amb SSH, implementa aquestes normes editant el fitxer sshd_config:
bash
Copy code
PermitRootLogin no
MaxAuthTries 3
4. Autenticació Multifactor (MFA/2FA)
Requereix una segona capa de verificació, com un codi enviat al telèfon o una aplicació com Google Authenticator.
Això garanteix que l’accés és segur fins i tot si es compromet la contrasenya.
Exemple pràctic: En un sistema Linux, configura Google Authenticator:
Instal·la libpam-google-authenticator.
Configura /etc/pam.d/sshd per habilitar MFA.
5. Educació i Conscienciació
Forma els usuaris sobre bones pràctiques de gestió de contrasenyes:
No compartir contrasenyes amb ningú.
Evitar guardar contrasenyes en llocs insegurs (p. ex., notes adhesives).
Implementa gestors de contrasenyes (p. ex., KeePass, Bitwarden).
Exemple pràctic: Inclou un document amb bones pràctiques en la política d’ús de la xarxa i fes sessions de formació.
Implementació a Servidors i Clients
1. Servidor d’Autenticació (p. ex., Active Directory o LDAP)
Centralitza la gestió d’usuaris i contrasenyes.
Defineix les polítiques descrites més amunt, com:
Llargada mínima.
Complexitat.
Històric de contrasenyes.
Exemple pràctic:
Configura un domini amb Active Directory en un servidor Windows.
Aplica polítiques de contrasenyes mitjançant Group Policy Management.
2. Clients
Configura les normes de contrasenyes per als usuaris en cadascun dels clients.
Bloqueja la pantalla automàticament després d’un període d’inactivitat (p. ex., 5-10 minuts).
Integra els clients al servidor d’autenticació per centralitzar el control.
Exemple pràctic: En ordinadors Windows:
Uneix els clients al domini del servidor Windows.
Aplica les polítiques configurades a l’Active Directory.
Resposta a Incidents Relacionats amb Contrasenyes
Escenari 1: Compromís d’una contrasenya
- Resposta immediata:
Bloqueja el compte afectat.
Força un canvi de contrasenya.
Notifica l’usuari.
- Mesures preventives:
Implementa MFA.
Audita l’activitat de l’usuari per assegurar que no hi ha accés no autoritzat.
Escenari 2: Atacs de força bruta
- Resposta immediata:
Bloqueja les IP des d’on s’estan fent els intents.
Augmenta la complexitat de les contrasenyes.
Configura un límit d’intents fallits més restrictiu.
- Mesures preventives:
Activa un tallafocs (p. ex., UFW a Linux o Windows Firewall).
Utilitza autenticació amb clau pública per a SSH.
Conclusió
Un sistema segur no només depèn de contrasenyes fortes sinó també de polítiques adequades per gestionar-les, prevenir abusos i educar els usuaris. La combinació de polítiques de contrasenyes robustes, còpies de seguretat i un pla de contingència eficient garantirà la seguretat del sistema que estàs desenvolupant per al teu treball de classe.