Gérer les mots de passe

Changer le mot de passe

Un utilisateur peut changer son mot de passe depuis le client Windows d'EMu. Le nouveau mot de passe est vérifié pour voir s'il est conforme aux standards requis (par exemple, longueur, mélange de caractères, etc.) avant d'être défini.

Voir Entrée de Registre Change Password pour plus de détails.

Expiration du mot de passe / vieillissement

Un mot de passe expiré se produit lorsqu'un utilisateur n'a pas changé son mot de passe au cours d’un nombre de jours défini. Une fois que le mot de passe a expiré, l'utilisateur doit définir un nouveau mot de passe lors de sa prochaine connexion à EMu. Il lui sera demandé de saisir le nouveau mot de passe.

Le vieillissement des mots de passe permet à un Administrateur Système de forcer les utilisateurs à changer leur mot de passe dans un nombre de jours donnés. Par exemple, votre institution peut avoir une politique dictant que les utilisateurs doivent changer leurs mots de passe au moins une fois par trimestre.

Solaris 10

La commande passwd est utilisée pour configurer le vieillissement des mots de passe sur Solaris 10. Le format de la commande est :

passwd -n min -x max utilisateur

où :

min

est le nombre minimum de jours requis entre les changements de mot de passe.

Pas supporté par EMu en raison des limitations dans Solaris.

max

est le nombre maximum de jours pendant lesquels le mot de passe est valide. Une fois que le nombre max de jours se sont écoulés sans changement de mot de passe, l'utilisateur sera invité à saisir un nouveau mot de passe lors de la prochaine connexion réussie. Une valeur max de -1 est utilisée pour désactiver le vieillissement du mot de passe.

utilisateur

est le nom du compte utilisateur auquel les restrictions s'appliquent.

Les valeurs par défaut pour min et max sont définies dans le fichier /etc/default/passwd. Il y a deux variables utilisées pour définir les valeurs minimale et maximale du vieillissement :

MINWEEKS
Le nombre minimum de semaines entre les changements de mot de passe. La valeur par défaut est vide, impliquant qu’aucun minimum n’est fixé.

Pas supporté par EMu en raison des limitations dans Solaris.
MAXWEEKS
Le nombre maximum de semaines entre les changements de mot de passe. La valeur par défaut est vide, impliquant qu’aucun maximum n’est fixé.

Établir les valeurs par défaut minimum et / ou maximum pour ne pas être vide dans /etc/default/passwd résultera en l’activation du vieillissement pour les utilisateurs qui ne l’avaient pas la prochaine fois que leur mot de passe est changé.

Le vieillissement des mots de passe est supporté par les bases de données mots de passe Shadow et NIS+. LDAP et AD supportent également le vieillissement des mots de passe via la classe d’objet shadowAccount.

Linux

La commande chage est utilisée pour configurer le vieillissement des mots de passe sous Linux. Le format de la commande est :

chage -m min -M max utilisateur

où :

`min`	est le nombre minimum de jours requis entre les changements de mot de passe. Une valeur zéro indique qu'il n'y a pas de minimum.
`max`	est le nombre maximum de jours pendant lesquels le mot de passe est valide. Une fois que le nombre de jours max se sont écoulés sans changement de mot de passe, l'utilisateur sera invité à saisir un nouveau mot de passe lors de la prochaine connexion réussie. Une valeur max de `99999` est utilisée pour désactiver le vieillissement du mot de passe.
utilisateur	est le nom du compte utilisateur auquel les restrictions s'appliquent.

Les valeurs par défaut pour min et max sont définies dans le fichier /etc/login.defs. Il y a deux variables utilisées pour définir les valeurs minimale et maximale du vieillissement :

PASS_MIN_DAYS
Le nombre minimum de jours entre les changements de mot de passe. La valeur par défaut est zéro, impliquant qu’aucun minimum n’est fixé.
PASS_MAX_DAYS
Le nombre maximum de jours entre les changements de mot de passe. La valeur par défaut est 99999, impliquant qu’aucun maximum n’est fixé.

Établir les valeurs par défaut minimum et / ou maximum pour ne pas être vide dans /etc/login.defs résultera en l’activation du vieillissement pour les utilisateurs qui ne l’avaient pas la prochaine fois que leur mot de passe est changé.

Le vieillissement des mots de passe est uniquement supporté par la base de données mots de passe Shadow. LDAP et AD supportent également le vieillissement des mots de passe via la classe d’objet shadowAccount, cependant les modifications des paramétrages d'un utilisateur doivent être faites via ldapmodify ou un client ldap (par exemple Active Directory Explorer pour AD).

FreeBSD

FreeBSD fournit une forme limitée du vieillissement des mots de passe. Plutôt que de fixer un nombre minimum et maximum de jours entre chaque changement de mot de passe, il vous permet d’établir la date à laquelle un mot de passe doit expirer. Une fois la date arrivée, l'utilisateur sera invité à saisir un nouveau mot de passe. La commande pw est utilisée pour établir la date à laquelle un mot de passe expire :

pw usermod user -p date

où :

utilisateur	est le nom du compte utilisateur auquel les restrictions s'appliquent.
`date`	est la date à laquelle le mot de passe expirera. Le format de date est dd-mmm-yyyy (par exemple 23-Oct-2011). Une valeur vide est utilisée pour supprimer une date d'expiration.

Lorsque le nouveau mot de passe est établi, le champ de date d'expiration est effacé.

Si vous voulez avoir une nouvelle date d'expiration calculée automatiquement lorsqu'un mot de passe est établi, vous devez spécifier l'attribut passwordtime dans le log dans le fichier de classe se trouvant dans /etc/login.conf. Le fichier de classe de connexion permet à un ensemble d'attributs système (utilisation des ressources, etc.) d’être établis sur la base d’une classe de connexion. Un utilisateur est ensuite assigné à une classe de connexion en utilisant la commande pw :

pw usermod user -L class

où :

utilisateur	est le nom du compte utilisateur à ajouter à la classe de connexion.
`class`	est le nom de classe tel que spécifié dans le fichier `/etc/login.conf`.

Pour définir la date d'expiration des mots de passe pour le système, la classe de connexion default doit être modifiée :

default:\

:passwordtime=time:\

...

où :

temps

est l'intervalle de temps à définir pour l'expiration d'un mot de passe. Un grand nombre de formats sont disponibles pour la valeur, nnnd étant la plus courante. Par exemple, 90d indique que le mot de passe expirera quatre-vingt-dix jours après sa dernière définition.

Si vous changez les valeurs dans /etc/login.conf, vous devez reconstruire la base de données interne en exécutant :

cap_mkdb /etc/login.conf

Le vieillissement des mots de passe est uniquement supporté par les bases de données mots de passe Unix et NIS+. LDAP et AD supportent également le vieillissement des mots de passe via la classe d’objet shadowAccount, cependant les modifications des paramétrages d'un utilisateur doivent être faites via ldapmodify ou un client ldap (par exemple Active Directory Explorer pour AD).

Exemples

Notre institution a une politique dictant que les mots de passe doivent être changés au moins une fois par trimestre. Il n'y a pas de temps minimum entre les changements.
Solaris 10

Comme la politique est un paramétrage par défaut la meilleure solution est d'éditer /etc/default/passwd et de définir les entrées suivantes :
```
MINWEEKS=
```
```
MAXWEEKS=13
```
Linux

Comme la politique est un paramétrage par défaut la meilleure solution est d'éditer /etc/login.defs et de définir les entrées suivantes :
```
PASS_MIN_DAYS=0
```
```
PASS_MAX_DAYS=90
```
FreeBSD

Comme la politique est un paramétrage par défaut la meilleure solution est d'éditer /etc/login.conf et de mettre à jour la classe de connexion default pour contenir l'entrée suivante :
```
default:\ 
```
```
	:passwordtime=90d:\
```
```
	...
```
Windows

Si le paramètre doit s'appliquer à l'ensemble du domaine, la Politique de sécurité globale doit être mise à jour ; sinon, s'il est spécifique à une machine, la Politique de sécurité locale doit être utilisée. Les attributs suivants doivent être définis :

Minimum password age défini sur 0.

Maximum password age défini sur 90.
Nous avons une politique par défaut de forcer les changements des mots de passe chaque trimestre, cependant, nous avons un utilisateur (boris) pour lequel nous voulons désactiver le vieillissement des mots de passe.
Solaris 10

La commande suivante peut être utilisée pour désactiver le vieillissement des mots de passe de pour l'utilisateur boris :
```
passwd -x -1 boris
```
Linux

La commande suivante peut être utilisée pour désactiver le vieillissement des mots de passe de pour l'utilisateur boris :
```
chage -M 99999 boris
```
FreeBSD

La commande suivante peut être utilisée pour désactiver le vieillissement des mots de passe de pour l'utilisateur boris :
```
pw usermod boris -p ''
```
Windows

Afficher les propriétés du compte utilisateur. Si Active Directory est activé, exécuter dsa.msc pour afficher les utilisateurs Active Directory, autrement exécuter lusrmgr.msc pour la liste des utilisateurs locaux. Effectuer un clic droit sur l'utilisateur boris et sélectionner Propriétés. Cocher la case Le mot de passe n'expire jamais, par ex. :

Réinitialiser le mot de passe

Si un utilisateur oublie son mot de passe, l'Administrateur Système peut effacer l'ancien mot de passe (ou en établir un nouveau) et forcer l'utilisateur à saisir un nouveau mot de passe la prochaine fois qu'il se connecte à EMu.

La fonction de réinitialisation du mot de passe permet à un Administrateur système de forcer un utilisateur à changer son mot de passe lors de sa prochaine connexion. Ceci est généralement utilisé lorsqu'un utilisateur oublie son mot de passe. Dans ce cas, l'Administrateur système définit un nouveau mot de passe et oblige l'utilisateur à le changer lors de son prochain accès au système.

Vieillissement des comptes / Expiration du compte

Le compte d'un utilisateur peut expirer. Une fois que le compte a expiré, l'utilisateur ne pourra plus accéder à EMu. Il y a deux façons de faire expirer un compte :

L’utilisateur ne s’est pas connecté à EMu pour un nombre de jours donnés.
Une date absolue après laquelle l'accès au système sera refusé.

La fonction de vieillissement du compte permet à l'Administrateur système de fixer une date après laquelle le compte de l'utilisateur devient inactif. Si un utilisateur tente d'accéder à EMu après la date fixée, un message indiquant que le compte a expiré s'affiche et l'accès est refusé.

Exemples

Nous avons un certain nombre d'étudiants qui travaillent pour notre institution pendant la période estivale. Nous voulons expirer leurs comptes quand ils retournent à l’université le 1er octobre 2012.

Dans chacun des cas ci-dessous, il n'est pas possible d’établir la date d'expiration pour tous les étudiants avec une seule commande. Chaque compte utilisateur doit être réglé individuellement.

Solaris 10

La commande nécessaire pour établir la date d'expiration est :

usermod -e ''10/01/12' étudiant1

Linux

La commande nécessaire pour établir la date d'expiration est :

chage -E '2012-10-01' étudiant1

FreeBSD

La commande nécessaire pour établir la date d'expiration est :

pw usermod étudiant1 -e '01-10-2012'

Windows

Exécuter dsa.msc et afficher les propriétés du compte utilisateur étudiant1. Sur l’onglet Compte cocher le bouton radio Fin de dans la boîte Compte expire. Établir la date à 1 octobre 2012.
Un des étudiants (étudiant2) ne retournera pas à l’université et continuera à travailler avec nous pour l’instant. Nous avons besoin de supprimer sa date d'expiration

Solaris 10

La commande nécessaire pour supprimer la date d'expiration est :

usermod -e '' étudiant2

Linux

La commande nécessaire pour supprimer la date d'expiration est :

chage -E '' étudiant2

FreeBSD

La commande nécessaire pour supprimer la date d'expiration est :

pw usermod étudiant2 -e ''

Windows

Exécuter dsa.msc et afficher les propriétés du compte utilisateur étudiant2. Sur l’onglet Compte cocher le bouton radio Jamais dans la boîte Compte expire.

Verrouillage des comptes

La fonction de verrouillage du compte permet à un Administrateur système de désactiver l'accès à un compte utilisateur. Tant que le compte est verrouillé, l'utilisateur ne pourra pas se connecter à EMu. Le message d'erreur indiquera qu'une combinaison nom d'utilisateur / mot de passe incorrecte a été saisie. Lorsqu'un compte est déverrouillé, l'utilisateur peut accéder à nouveau à EMu en utilisant son ancien mot de passe. Le verrouillage du compte est utile si un utilisateur part pour une longue période, mais prévoit de revenir à l'avenir.

Exemples

L’utilisateur boris a pris un congé d'un an. Nous voulons verrouiller son compte pendant son absence
Solaris 10

La commande nécessaire pour verrouiller le compte utilisateur est :
```
passwd -l boris
```
Linux

La commande nécessaire pour verrouiller le compte utilisateur est :
```
passwd -l boris
```
FreeBSD

La commande nécessaire pour verrouiller le compte utilisateur est :
```
pw lock boris
```
Windows

Si Active Directory est activé, exécuter dsa.msc pour afficher les utilisateurs Active Directory, autrement exécuter lusrmgr.msc pour la liste des utilisateurs locaux. Afficher les propriétés du compte utilisateur boris. Cocher la case Le compte est désactivé.
L’utilisateur boris est maintenant de retour de congé et nous voudrions déverrouiller son compte
Solaris 10

La commande nécessaire pour déverrouiller le compte utilisateur est :
```
passwd -u boris
```
Linux

La commande nécessaire pour déverrouiller le compte utilisateur est :
```
passwd -u boris
```
FreeBSD

La commande nécessaire pour déverrouiller le compte utilisateur est :
```
pw unlock boris
```
Windows

Si Active Directory est activé, exécuter dsa.msc pour afficher les utilisateurs Active Directory, autrement exécuter lusrmgr.msc pour la liste des utilisateurs locaux. Afficher les propriétés du compte utilisateur boris. Décocher la case Le compte est désactivé.

Tentatives maximum

Le paramétrage des tentatives maximum permet à un Administrateur Système de définir le nombre maximum de mots de passe incorrects qui peuvent être saisis consécutivement avant le que compte utilisateur soit verrouillé. Mettre en œuvre une limite maximale de tentatives est utile si vous soupçonnez que des personnes tentent d’accéder à des comptes utilisateurs en devinant leur mot de passe.

Solaris 10

Solaris 10 fournit une variable appelée RETRIES dans le fichier /etc/default/login pour définir le nombre maximum de tentatives de mot de passe avant qu'un compte soit verrouillé. La valeur par défaut est vide, ce qui implique aucune limite.

Solaris 10, par défaut, ne verrouille pas un compte lorsque la limite est atteinte. Afin de verrouiller le compte deux mécanismes sont fournis. Le premier est pour le système, tandis que le second est par utilisateur. Le paramétrage au niveau du système se trouve dans le fichier /etc/security/policy.conf. La variable LOCK_AFTER_RETRIES doit être établie à YES pour forcer le verrouillage des comptes une fois que le nombre maximum de tentatives est atteint. Le paramétrage peut également être activé pour chaque utilisateur dans le fichier /etc/user_attr. La commande usermod est utilisée pour définir la valeur par utilisateur :

usermod -K lock_after_retries=valeur utilisateur

où :

valeur	est `no` (verrouillage du compte est désactivé une fois la limite de tentatives atteinte) ou yes (verrouillage du compte est activé une fois la limite de tentatives atteinte).
utilisateur	est le nom du compte utilisateur pour lequel établir `lock_after_retries`.

Une fois qu'un compte a été verrouillé en raison du dépassement du nombre maximal de tentatives, l'utilisateur ne peut pas se connecter à EMu jusqu'à ce que le compte soit déverrouillé (via passwd -u utilisateur).

Le verrouillage des comptes après un nombre maximum de mots de passe incorrects est pris en charge par les bases de données de mots de passe Shadow et NIS+. LDAP et AD prennent également en charge le verrouillage de compte via la classe objets posixAccount et shadowAccount.

Linux

Linux utilise le module pam_tally dans le sous-système PAM pour mettre en œuvre le verrouillage des comptes après un nombre défini de mauvais mots de passe. Afin d'activer le module vous avez besoin de l'inclure dans le fichier de configuration PAM Texpress se trouvant dans /etc/pam.d/texpress. Les deux entrées suivantes doivent être ajoutées :

auth		required		pam_tally.so onerr=fail deny=5

account		required		pam_tally.so reset

L'ordre de ces deux lignes dans le fichier de configuration PAM est important. La première ligne doit être avant l'entrée pour :

auth ... pam_unix.so

et la deuxième ligne doit être après l'entrée pour :

account ... pam_unix.so

L'argument deny détermine le nombre de tentatives de mot de passe échouées avant que l'utilisateur ne puisse plus se connecter au système.

Une fois qu'un utilisateur a atteint la limite deny, il ne peut pas se connecter jusqu'à ce que le nombre de mots de passe échoués soit remis à zéro. La commande faillog est utilisée pour réinitialiser le décompte (et donc permettre à l'utilisateur de réessayer de se connecter) :

faillog -r -u utilisateur

où :

utilisateur

est le nom du compte utilisateur à déverrouiller.

Il est également possible de définir le nombre maximum de tentatives de mot de passe par utilisateur, plutôt que sur l'ensemble du système. Si des limites par utilisateurs sont utilisées, les entrées PAM dans le fichier de configuration doivent être modifiées :

auth			required		pam_tally.so onerr=fail deny=5 per_user

account		required		pam_tally.so reset

La commande faillog est ensuite utilisée pour définir la limite par utilisateur :

faillog -u utilisateur -m max

où :

`max`	est le nombre d'échecs de mot de passe avant que le compte soit désactivé. Une valeur de zéro désactive la vérification.
utilisateur	est le nom du compte utilisateur pour lequel la limite est à définir.

FreeBSD

Comme Linux, FreeBSD utilise aussi PAM pour fournir un support pour le paramétrage d’un nombre maximum de tentatives de connexion avant que le compte utilisateur soit verrouillé. FreeBSD utilise le module pam_abl pour fournir le support PAM nécessaire. Le paquet pam_abl n'est pas installé sur un système FreeBSD par défaut. Vous aurez peut-être besoin d'installer le paquet avant de l'activer.

Afin d'activer le module vous avez besoin de l'inclure dans le fichier de configuration PAM Texpress se trouvant dans /etc/pam.d/texpress. Les entrées suivantes doivent être ajoutées :

auth	required	/usr/local/lib/pam_abl.so config=/usr/local/etc/pam_abl.conf

La position de cette ligne dans le fichier de configuration PAM est importante. La ligne doit être avant l'entrée pour :

auth ... pam_unix.so

L'argument config définit l'emplacement du fichier de configuration pam_abl. Le fichier de configuration permet d’établir les propriétés pour le système et par utilisateur.

Pour définir une entrée à l'échelle du système, éditer le fichier de configuration se trouvant dans /usr/local/etc/pam_abl.conf et modifier la propriété host_rule. Le format du paramétrage requis pour définir les tentatives de connexion maximales est :

*:retries/period

où :

`retries`	est le nombre de tentatives de connexion avant le verrouillage du compte utilisateur.
`period`	est la période pendant laquelle les tentatives doivent se produire pour que le compte utilisateur soit verrouillé. La période est généralement un nombre de jours, par exemple `30d`. Après l'expiration de cette période, le compte peut être consulté à nouveau.

Pour définir une entrée spécifique à un utilisateur, user_rule doit être utilisé. Le format d'une entrée spécifique à un utilisateur est :

utilisateur:retries/period

où :

utilisateur

est le nom du compte utilisateur pour lequel le paramétrage s'applique.

Les valeurs restantes sont les mêmes que pour la propriété host_rule. Des règles plus sophistiquées peuvent être établies. Veuillez voir l'entrée du manuel pour pam_abl pour plus de détails.

La commande pam_abl est utilisée pour effacer un compte une fois qu'il a été désactivé. Le format de la commande est :

pam_abl --okuser utilisateur

où :

utilisateur

est le nom du compte utilisateur à réactivé.

Exemples

Notre institution a pour politique d'autoriser cinq tentatives de connexion échouées avant de verrouiller un compte utilisateur. Pour déverrouiller le compte, l'utilisateur doit contacter l'Administrateur système
Solaris 10

Le paramétrage nécessaire dans le fichier /etc/default/login est :
```
RETRIES=5
```
et le paramétrage nécessaire dans le fichier /etc/security/policy.conf est :
```
LOCK_AFTER_RETRIES=YES
```
Linux

Ajouter la ligne suivante à /etc/pam.d/texpress :
```
auth required pam_tally.so onerr=fail deny=5
```
La ligne doit être ajoutée avant la ligne :
```
auth ... pam_unix.so
```
FreeBSD

Installer pam_abl et ajouter la ligne suivante au fichier de configuration PAM se trouvant dans /etc/pam.d/texpress (noter que cela doit être saisit sur une seule ligne) :
```
auth required /usr/local/lib/pam_abl.so config=/usr/local/etc/pam_abl.conf
```
La ligne doit être ajoutée avant la ligne :
```
auth ... pam_unix.so
```
Éditer le fichier de configuration pam_abl se trouvant dans /usr/local/etc/pam_abl.conf et ajouter la ligne :
```
host_rule=*:5/1h
```
La règle permet jusqu'à cinq tentatives incorrectes de connexion par heure.

Windows

Si le paramètre doit s'appliquer à l'ensemble du domaine, la Politique de sécurité globale doit être mise à jour ; sinon, s'il est spécifique à une machine, la Politique de sécurité locale doit être utilisée. L'attribut suivant doit être défini :

Account lockout threshold défini sur 5.
Nous avons un utilisateur (boris) qui est dyslexique, donc nous ne voulons pas verrouiller son compte après cinq mots de passe incorrects
Solaris 10

La commande nécessaire pour désactiver le verrouillage des comptes pour l'utilisateur boris est :
```
usermod -K lock_after_retries=no boris
```
Linux

Éditer le fichier de configuration PAM se trouvant dans /etc/pam.d/texpress et ajouter la propriété per_user à l’entrée auth pam_tally :
```
auth required pam_tally.so onerr=fail deny=5 per_user
```
La commande nécessaire pour désactiver le verrouillage des comptes pour l'utilisateur boris est :
```
faillog -m 0 -u boris
```
FreeBSD

Éditer le fichier de configuration pam_abl se trouvant dans /usr/local/etc/pam_abl.conf et ajouter l’entrée suivante :
```
user_rule=boris:100/1s
```
Bien que la règle ci-dessus ne désactive pas la vérification, elle ne verrouillera un compte utilisateur que s’il y a plus de 100 tentatives de connexion par seconde (ce qui est très peu probable).

Windows

Windows ne fournit pas de paramétrage par utilisateur pour le nombre de tentatives de connexion avant le verrouillage d'un compte utilisateur.

Mots de passe valides

Quand un utilisateur soumet un nouveau mot de passe pour qu’il soit mis à jour, il peut être utile de vérifier que le mot de passe est suffisamment obscur pour ne pas être deviné facilement. La vérification peut inclure la recherche de :

mots connus
un mélange de caractères et de chiffres
un mélange de minuscules et majuscules
une longueur minimale

La fonction de la validation des mots de passe fournit un mécanisme où les nouveaux mots de passe peuvent être comparés à un certain nombre de critères avant d'être approuvés pour la mise à jour.

Solaris 10

Solaris 10 fournit un support pour vérifier qu'un nouveau mot de passe fourni par un utilisateur correspond à un ensemble minimum de conditions. Les conditions sont définies dans le fichier /etc/default/passwd et sont vérifiées chaque fois qu'un utilisateur crée un nouveau mot de passe. Si le nouveau mot de passe ne passe pas tous les contrôles, il est refusé. Les contrôles disponibles sont :

`DICTIONDBDIR`	Le chemin d'un répertoire contenant une série de fichiers de dictionnaires pré-compilés. Les fichiers sont vérifiés pour voir si un nouveau mot de passe apparaît dans l'un d'eux. Si oui, le mot de passe est rejeté. La commande `mkpwdict` est utilisée pour construire les fichiers de dictionnaires pré-compilés. La valeur par défaut est vide, impliquant qu’une vérification des dictionnaires n'est pas effectuée.
`DICTIONLIST`	Une liste, séparée par des virgules, des noms complets des fichiers dictionnaires. Chaque fichier dictionnaire doit contenir un mot par ligne avec un caractère de nouvelle ligne utilisé pour mettre fin à la ligne. Un nouveau mot de passe est vérifié contre le contenu des fichiers dictionnaires avant d'être accepté. La valeur par défaut est une liste vide, impliquant qu’une vérification des dictionnaires n'est pas effectuée.
`HISTORY`	Le nombre maximum de mots de passe précédents à maintenir pour chaque utilisateur. Quand un utilisateur soumet un nouveau mot de passe, il est vérifié contre les derniers mots de passe `HISTORY` que l'utilisateur a défini et s’il y a une correspondance, le mot de passe est refusé. Si la valeur HISTORY est vide ou nulle, les historiques des mots de passe sont désactivés. La valeur par défaut est vide, impliquant que les historiques des mots de passe sont désactivés. Les historiques des mots de passe sont uniquement supportés par la base de données mots de passe Shadow.
`MINALPHA`	Le nombre minimal de caractères alphabétiques requis. Si `MINALPHA` n'est pas défini, la valeur par défaut est de 2.
`MINDIGIT`	Le nombre minimal de chiffres requis. Si `MINDIGIT` n'est pas défini ou est réglé à zéro, le défaut est aucune vérification. Vous ne pouvez pas définir MINDIGIT si MINNONALPHA est défini.
`MINNONALPHA`	Le nombre minimal de caractères non-alpha (y compris numériques et spéciaux) requis. Si `MINNONALPHA` n'est pas défini, la valeur par défaut est de 1. Vous ne pouvez pas définir MINNONALPHA si MINDIGIT ou MINSPECIAL est défini.
`MINSPECIAL`	Le nombre minimum de caractères spéciaux (non alphabétiques et non chiffrés) requis. Si `MINSPECIAL` n'est pas défini ou est réglé à zéro, le défaut est aucune vérification. Vous ne pouvez pas définir MINSPECIAL si vous définissez MINNONALPHA.
`MINLOWER`	Le nombre minimum de lettres minuscules requis. S’il n'est pas défini ou est réglé à zéro, le défaut est aucune vérification.
`MINUPPER`	Le nombre minimum de lettres majuscules requis. S’il n'est pas défini ou est réglé à zéro, le défaut est aucune vérification.
`MINDIFF`	Le nombre minimal de caractères différents requis entre un ancien et un nouveau mot de passe. Si `MINDIFF` n'est pas défini, la valeur par défaut est de 3.
`NAMECHECK`	Activer / désactiver la vérification du nom d'utilisateur comme mot de passe. La valeur par défaut est d'effectuer la vérification. Une valeur de `NO` désactive cette fonctionnalité.
`PASSLENGTH`	La longueur minimale acceptable pour un mot de passe en caractères.
`WHITESPACE`	Si les caractères blancs (espace, tabulation, etc.) sont acceptables dans un mot de passe. La valeur par défaut est que les blancs sont acceptables. Une valeur de `NO` désactive cette fonctionnalité.

Comme vous pouvez le voir Solaris 10 fournit beaucoup de contrôles sur ce qui constitue un mot de passe valide. Les paramétrages ci-dessus sont pour le système entier. Il n'est pas possible d'appliquer les paramétrages par utilisateur.

Linux

Linux utilise le module pam_cracklib dans le sous-système PAM pour mettre en œuvre la validation des mots de passe. Afin d'activer le module vous avez besoin de l'inclure dans le fichier de configuration PAM Texpress se trouvant dans /etc/pam.d/texpress. Les deux entrées suivantes doivent remplacer l'entrée password existante :

password		required		pam_cracklib.so minlen=6 difok=3

password		required		pam_unix.so use_authtok

Le module pam_cracklib prend un certain nombre de paramètres, notamment :

minlen
La longueur minimale acceptable pour un mot de passe.
difok
Le nombre minimal de caractères différents requis entre le mot de passe précèdent et le nouveau mot de passe.
dictpath
Préfixe du fichier complet pour les dictionnaires cracklib. La valeur par défaut est /usr/lib/cracklib.dict. Les extensions dictionnaires cracklib sont :
- .hwm
- .pwd
- .pwi

pam_cracklib fournit un dictionnaire contenant plus de 50 000 mots. Il est également possible de configurer pam_cracklib pour forcer les mots de passe à contenir un mélange de minuscules, majuscules, chiffres et caractères spéciaux. Veuillez voir la page du manuel pam_cracklib pour plus de détails sur comment configurer ces restrictions.

FreeBSD

FreeBSD utilise le module pam_passwdqc dans le sous-système PAM pour mettre en œuvre la validation des mots de passe. Afin d'activer le module vous avez besoin de l'inclure dans le fichier de configuration PAM Texpress se trouvant dans /etc/pam.d/texpress. Les deux entrées suivantes doivent remplacer l'entrée password existante :

password		requisite		pam_passwdqc.so enforce=users

password		required		pam_unix.so no_warn try_first_pass

Le module pam_passwdqc prend un certain nombre de paramètres, notamment :

enforce
Indique si les mots de passe faibles devraient être autorisés. Les valeurs autorisées sont :
- everyone - les mots de passe forts sont appliqués pour tous les utilisateurs.
- users - les mots de passe forts sont appliqués pour tous les utilisateurs non-root.
- none - les mots de passe forts ne sont pas appliqués.
max
La longueur maximale autorisée pour le mot de passe. La valeur par défaut est 40.
match
La longueur d'une séquence commune entre les anciens mots de passe et le nouveau mot de passe pour que le nouveau mot de passe soit considéré comme inapproprié. La valeur par défaut est de quatre, tandis qu'une valeur de zéro désactive la correspondance des sous-chaînes.

min

La longueur minimale autorisée du mot de passe pour les différentes combinaisons de séquences de caractères. Un mot de passe est décomposé en un certain nombre de classes de caractères. Les classes sont :

chiffres
lettres minuscules
lettres majuscules
autres caractères

Le format du paramétrage pour min est :

min=N0,N1,N2,N3,N4

où :

`N0`	est la longueur minimale où un mot de passe contient des caractères d'une seule classe.
`N1`	est la longueur minimale où un mot de passe contient des caractères de deux classes.
`N2`	est le nombre minimum de mots pour une phrase de passe (non utilisé par EMu).
`N3`	est la longueur minimale où un mot de passe contient des caractères de trois classes.
`N4`	est la longueur minimale où un mot de passe contient des caractères des quatre classes.

Une valeur de disabled est utilisée pour interdire les mots de passe d’un format donné La valeur par défaut est min=disabled,24,12,8,7.

pam_passwdqc ne fournit pas de fonction de recherche des dictionnaires, cependant une utilisation judicieuse de la propriété min force les utilisateurs à soumettre des mots de passe avec des séquences non-évidentes.

Windows

L'activation des exigences de complexité des mots de passe est définie sur un serveur Windows exécutant EMu via une Politique de sécurité locale ou globale. L'éditeur de Politique de sécurité locale est appelé en exécutant secpol.msc. L'Édition de politique de sécurité globale est appelée en exécutant gpedit.msc. Les chemins de la politique sont :

Politique de Sécurité Locale
Security Settings/Account Policies/Password Policy
Politique de Sécurité Globale
[nom de l’ordinateur] Policy/Computer Configuration/Windows Settings/Security Settings/Account Policies/Password Policy

La propriété utilisée pour contrôler la complexité des mots de passe est :

Le mot de passe doit répondre aux exigences de complexité : spécifie si les contrôles de complexité du mot de passe sont activés ou désactivés. La valeur par défaut pour un contrôleur de domaine est activée, sinon elle est désactivée. Les exigences en matière de complexité des mots de passe sont les suivantes :
- ne doit pas contenir le nom du compte de l'utilisateur ou des parties du nom complet de l'utilisateur qui dépassent deux caractères consécutifs.
- doit avoir une longueur d'au moins six caractères.
- doit contenir des caractères appartenant à trois des quatre catégories suivantes :
  - caractères majuscules (de A à Z)
  - caractères minuscules (de a à z)
  - chiffres (0 à 9)
  - les caractères non alphabétiques (par exemple, !, $, #, %)

La propriété utilisée pour contrôler les historiques des mots de passe est :

Enforce password history - spécifie le nombre de nouveaux mots de passe uniques requis avant qu’un ancien mot de passe puisse être réutilisé. La valeur par défaut est de 24 pour un contrôleur de domaine, sinon une valeur de zéro est utilisée.

Windows ne fournit pas de fonction de recherche des dictionnaires.

`date`	est la date après laquelle le compte n'est plus valable. Le format de date utilisé est yyyy-mm-dd. Une valeur de date vide est utilisée pour enlever une date d'expiration.
`user`	est le nom du compte utilisateur à expirer.

`date`	est la date après laquelle le compte n'est plus valable. Le format de date utilisé est dd-mm-yyyy. Une valeur de date vide est utilisée pour enlever une date d'expiration.
`user`	est le nom du compte utilisateur à expirer.

`date`	est la date après laquelle le compte n'est plus valable. Le format de date utilisé est mm/dd/yy. Une valeur de date vide est utilisée pour enlever une date d'expiration.
utilisateur	est le nom du compte utilisateur à expirer.