Como definir o algoritmo de senha padrão para o sha512 no Linux?

Question

no AIX, seria simples:

chsec -f /etc/security/login.cfg -s usw -a pwd_algorithm=ssha512

Pergunta: Mas como podemos definir o algoritmo de senha padrão para o sha512?

UPDATE : Eu acho que pwd_algorithm não suporta ssha512, mas seria melhor, sim .. tentei em um Linux Desktop:

[root@notebook ~]# john --test -format=ssha512
Will run 4 OpenMP threads
Benchmarking: SSHA512, LDAP [32/64 OpenSSL]... (4xOMP) DONE
Many salts: 3450K c/s real, 858307 c/s virtual
Only one salt:  2826K c/s real, 713696 c/s virtual
[root@notebook ~]# 

[root@notebook ~]# john --test -format=bcrypt
Will run 4 OpenMP threads
Benchmarking: bcrypt ("$2a$05", 32 iterations) [Blowfish 32/64 X3]... (4xOMP) DONE
Raw:    1800 c/s real, 455 c/s virtual
[root@notebook ~]# 

Isso significa ~ 1800 senhas por segundo com bcrypt e ~ 3 000 000 senhas por segundo com ssha512 nesta área de trabalho? Mais devagar é melhor.

    

Answer 1

Configuração ENCRYPT_METHOD SHA512 no arquivo /etc/login.defs

Preste atenção também no NOTE mencionado no mesmo arquivo, logo acima do parâmetro ENCRYPT_METHOD , que diz

Note: It is recommended to use a value consistent with the PAM modules configuration.

Portanto, a modificação adicional junto com /etc/login.defs é modificar /etc/pam.d/common-password

password [success=2 default=ignore] pam_unix.so obscure sha512

Aqui, obscure foi manipulado pelo login.defs , mas agora é substituído pelo PAM

    

Answer 2

O Linux usa pam para lidar com tarefas de autenticação. A configuração do algoritmo hash de senha padrão foi feita editando /etc/pam.d/common-password :

password    [success=1 default=ignore]    pam_unix.so obscure sha256

Mude para qualquer algoritmo que você quiser usar:

password    [success=1 default=ignore]    pam_unix.so obscure sha512

Agora, seu algoritmo de hashing de senha padrão foi alterado para sha512. Você também precisa forçar outros usuários a atualizar suas senhas:

chage -d 0 <username>