Security Center:Renforcer la sécurité des mots de passe

Système

Procédure

Système Linux

Exécutez passwd <UserName> pour modifier le mot de passe de l'utilisateur. Saisissez le nouveau mot de passe lorsque vous y êtes invité.

Si vous omettez <UserName>, le mot de passe de l'utilisateur actuel est modifié.

Système Windows

Les étapes suivantes utilisent Windows Server 2019 comme exemple.

1. Connectez-vous au serveur Windows et cliquez sur l'icône dans le coin inférieur gauche.

2. Cliquez sur l'icône . Sur la page Paramètres Windows, cliquez sur Accounts.

3. Dans le volet de navigation de gauche, cliquez sur Sign-in options.

4. Suivez les instructions à l'écran pour modifier le mot de passe du serveur.

Base de données MySQL

1. Connectez-vous à la base de données MySQL.

2. Exécutez la commande suivante pour afficher les informations relatives au mot de passe de l'utilisateur.

   SELECT user, host, authentication_string FROM user;

   Remarque

   Certaines versions de MySQL peuvent ne pas prendre en charge cette commande. Si elle ne renvoie pas les informations de mot de passe, exécutez plutôt la commande suivante.

   SELECT user, host, password FROM user; 

3. Exécutez la commande suivante pour modifier le mot de passe de l'utilisateur concerné.

   ALTER USER '<UserName>'@'<HostName>' IDENTIFIED BY '<NewPassword>';

4. Exécutez la commande flush privileges; pour appliquer les modifications.

Base de données Redis

1. Ouvrez le fichier de configuration Redis, redis.conf.

2. Exécutez la commande suivante pour définir ou modifier le mot de passe.

   requirepass <NewPassword>

   Cette commande modifie un mot de passe existant ou en définit un nouveau s'il n'en existe pas.

3. Redémarrez le service Redis.

Base de données SQL Server

• Connexion au système Linux

  Connectez-vous à la base de données SQL Server et exécutez la commande suivante pour modifier le mot de passe de connexion.

  EXEC sp_password @old=N'<OldPassword>', @new=N'<NewPassword>', @loginame=N'<UserName>';

• Authentification Windows

  Dans le client de base de données SQL Server, accédez à , sélectionnez l'utilisateur et remplacez le mot de passe faible par un mot de passe robuste.

Base de données MongoDB

1. Connectez-vous à la base de données MongoDB.

2. Exécutez la commande use admin pour basculer vers la base de données admin.

3. Exécutez la commande db.changeUserPassword("<UserName>", "<NewPassword>") pour modifier le mot de passe de l'utilisateur.

   Définissez un mot de passe robuste de plus de 12 caractères, incluant des chiffres, des lettres majuscules, des lettres minuscules et des caractères spéciaux.

4. Assurez-vous que l'authentification est activée.

   Dans le fichier de configuration MongoDB mongod.conf, définissez security.authorization sur enabled ou définissez le paramètre auth sur true.

5. Exécutez la commande systemctl restart mongod pour redémarrer le service MongoDB.

Base de données PostgreSQL

1. Connectez-vous à la base de données PostgreSQL.

2. Exécutez la commande suivante pour modifier le mot de passe faible.

   ALTER USER <UserName> WITH PASSWORD '<NewPassword>';

Tomcat

1. Ouvrez le fichier de configuration conf/tomcat-user.xml dans le répertoire racine de Tomcat.

2. Pour le nœud utilisateur cible, modifiez la valeur de l'attribut password en définissant un mot de passe robuste.

Rsync

1. Ouvrez le fichier de configuration Rsync, rsyncd.conf.

2. Localisez le paramètre secrets file pour trouver le chemin du fichier rsyncd.secret.

3. Modifiez le fichier rsyncd.secret. Pour l'utilisateur cible, définissez un nouveau mot de passe robuste en utilisant le format <UserName>:<NewPassword>.

4. Redémarrez le service Rsync.

SVN

1. Accédez au répertoire du dépôt.

2. Dans le fichier de configuration <path>/conf/svnserve.conf, localisez le paramètre password-db.

3. Utilisez la valeur du paramètre password-db pour trouver le fichier de configuration des mots de passe (par défaut, le fichier passwd) et modifiez le mot de passe dans ce fichier.

4. Redémarrez le service SVN.

vsftpd

• Utilisateurs locaux

  1. Ouvrez le fichier de configuration vsftpd.conf.

  2. Ajoutez ou modifiez le paramètre anonymous_enable et définissez sa valeur sur NO pour désactiver la connexion anonyme.

  3. Exécutez la commande passwd <UserName> pour modifier le mot de passe de l'utilisateur FTP.

  4. Suivez les instructions pour définir un nouveau mot de passe robuste.

• Utilisateurs virtuels

  1. Ouvrez le fichier /etc/vsftpd/login.txt.

  2. Modifiez le mot de passe correspondant au nom d'utilisateur et enregistrez le fichier.

     Le fichier utilise des lignes alternées : le nom d'utilisateur sur les lignes impaires, le mot de passe sur les lignes paires.

  3. Exécutez la commande db_load -T -t hash -f /etc/vsftpd/login.txt /etc/vsftpd/login.db.

  4. Modifiez le fichier /etc/pam.d/vsftpd.

     Après les lignes contenant auth pam_userdb.so et account pam_userdb.so, ajoutez l'instruction db=/etc/vsftpd/login. Consultez la figure suivante pour connaître l'emplacement correct. Enregistrez le fichier après la modification.

  5. Redémarrez vsftpd.

FTP

1. Connectez-vous au serveur Linux cible en tant qu'utilisateur root.

2. Exécutez la commande suivante.

   passwd <UserName>

3. Saisissez le nouveau mot de passe lorsque vous y êtes invité.

   Un message de succès s'affiche : all authentication tokens updated successfully.

Base de données InfluxDB

1. Connectez-vous à la base de données InfluxDB.

2. Exécutez la commande suivante pour modifier le mot de passe de la base de données.

   Remplacez NewPassword par le nouveau mot de passe, entre guillemets simples.

   set password for "<UserName>" = '<NewPassword>' 

JBoss 6 et 7

• JBoss 6 :

  1. Modifiez le fichier de configuration /conf/props/jmx-console-users.properties. Changez le mot de passe faible en utilisant le format <UserName>=<Password>.

  2. Redémarrez JBoss 6.

     1. Exécutez ps -ef|grep jboss pour afficher le processus JBoss 6 actuel.

     2. Exécutez kill -9 <Process_ID> pour arrêter le processus.

        Remplacez <Process_ID> par l'ID du processus JBoss 6.

     3. Exécutez la commande suivante pour démarrer le service JBoss.

        Remplacez <jboss6_path> par le répertoire d'installation de JBoss 6.

         <jboss6_path>/bin/run.sh

• JBoss 7 :

  1. Modifiez le fichier de configuration /configuration/mgmt-users.properties et supprimez l'entrée de l'utilisateur dont le mot de passe est faible.

  2. Exécutez bin/adduser.sh dans le chemin d'installation de JBoss et suivez les instructions pour ajouter un nouvel utilisateur avec un mot de passe robuste.

Jenkins

1. Connectez-vous à la console web Jenkins.

2. Cliquez sur Configure pour ouvrir la page Configure.

3. Dans le champ Password, saisissez le nouveau mot de passe.

OpenLDAP

1. Exécutez la commande suivante pour interroger la valeur et l'emplacement du champ de mot de passe administrateur OpenLDAP.

   ldapsearch -H ldapi:// -LLL -Q -Y EXTERNAL -b "cn=config" "(olcRootDN=*)" dn olcRootDN olcRootPW

2. Exécutez la commande suivante pour générer un nouveau mot de passe.

    slappasswd -s <NewPassword>

   Cette commande renvoie la valeur de hachage du nouveau mot de passe (NewHash).

3. Créez un nouveau fichier nommé newpassword.ldif et ajoutez-y le contenu suivant.

   dn: olcDatabase={2}hdb,cn=config
   changetype: modify
   replace: olcRootPW
   olcRootPW: NewHash

   La valeur de la ligne dn correspond à la valeur dn renvoyée par la première commande d'interrogation. NewHash est la valeur de hachage du nouveau mot de passe.

4. Exécutez la commande suivante pour importer le nouveau fichier ldif.

   ldapmodify -H ldapi:// -Y EXTERNAL -f newpassword.ldif

OpenVPN sur Linux

Modifiez le fichier de configuration pwd-file pour changer le mot de passe OpenVPN :

1. Localisez le fichier de configuration pwd-file. Ce fichier se trouve généralement dans le répertoire /etc/openvpn.

2. Ajoutez l'instruction suivante au fichier de configuration pour désactiver l'authentification par certificat client.

   client-cert-not-required

3. Ajoutez l'instruction suivante au fichier de configuration pour activer le script de mot de passe utilisateur.

   auth-user-pass-verify /etc/openvpn/checkpsw.sh via-env

4. Ajoutez l'instruction suivante au fichier de configuration pour supprimer les avertissements système.

   script-security 3

5. Modifiez le fichier /etc/openvpn/psw-file. Chaque ligne correspond à un compte, le nom d'utilisateur et le mot de passe étant séparés par un espace. Exemple :

   cat /etc/openvpn/psw-file 
   abcdocker <NewPassWord>
   abc <NewPassWord>
   test <NewPassWord>

6. Exécutez la commande suivante pour obtenir le script checkpsw.sh.

   wget http://openvpn.se/files/other/checkpsw.sh

   Remarque

   Par défaut, checkpsw.sh lit les noms d'utilisateur et les mots de passe à partir du fichier /etc/openvpn/psw-file.

Base de données Oracle

1. Connectez-vous à la base de données Oracle.

2. Exécutez la commande suivante pour modifier le mot de passe.

   alter user <UserName> identified by <NewPassWord>;

pptpd

1. Modifiez le fichier /etc/ppp/chap-secrets.

2. Configurez le nom d'utilisateur et le mot de passe au format <UserName> pptpd <NewPassword> *.

   Les champs UserName, pptpd, NewPassword et * doivent être séparés par des tabulations.

3. Redémarrez le service pptp.

ProFTPD

Exécutez la commande suivante et saisissez le nouveau mot de passe lorsque vous y êtes invité.

Dans la commande, File_Path fait référence au chemin du fichier qui stocke l'utilisateur virtuel.

ftpasswd --passwd --name=<UserName> --change-password --file=File_Path

RabbitMQ

Exécutez la commande suivante pour modifier le mot de passe faible.

rabbitmqctl change_password <UserName> '<NewPassword>'

VncServer

1. Assurez-vous que VncServer est arrêté, puis accédez au répertoire d'installation de VncServer sur le serveur.

   Si le mot de passe faible n'appartient pas à l'utilisateur root, connectez-vous ou basculez vers l'utilisateur dont vous devez modifier le mot de passe. Par exemple, si l'utilisateur est aliuser, exécutez la commande su - aliuser.

2. Supprimez le fichier passwd du répertoire d'installation. Par exemple, supprimez /home/aliuser/.vnc/passwd.

3. Exécutez la commande vncpasswd pour réinitialiser le mot de passe.

   Important

   VncServer ne valide que les 8 premiers caractères d'un mot de passe. Par exemple, si vous définissez le nouveau mot de passe sur Aliyunpasswd, seuls les 8 premiers caractères, Aliyunpa, sont effectifs. Si le mot de passe effectif ne répond pas aux exigences de complexité, il présente un risque élevé d'être craqué. Assurez-vous que votre mot de passe respecte les exigences de complexité.

WebLogic 12c

1. Connectez-vous à la console d'administration WebLogic Server.

2. Dans le volet de navigation de gauche, choisissez .

3. Sélectionnez l'utilisateur dont vous souhaitez modifier le mot de passe.

4. Sur la page Passwords, saisissez et confirmez le nouveau mot de passe, puis cliquez sur Save.

5. Si le Change Center dans le coin supérieur gauche de la console affiche Activate Changes, cliquez sur Activate Changes.

6. Connectez-vous au serveur et modifiez le champ password pour l'utilisateur cible dans le fichier de configuration %DOMAIN_HOME%/servers/AdminServer/security/boot.properties.

   Ce mot de passe doit correspondre à celui défini dans la console WebLogic. Après la modification, le mot de passe est automatiquement chiffré en AES.

7. Exécutez la commande %DOMAIN_HOME%/bin/stopWeblogic.sh pour arrêter WebLogic en toute sécurité, puis redémarrez-le.

ActiveMQ

1. Accédez au répertoire des fichiers de configuration activemq_path/conf/.

   Ici, activemq_path représente le chemin d'installation de l'application.

2. Exécutez la commande vim jetty-realm.properties pour modifier le fichier de configuration.

3. Ajoutez ou modifiez l'utilisateur.

   Le format de modification du nom d'utilisateur et du mot de passe est <UserName>: <NewPassword>,RoleName, où RoleName représente le rôle. Par exemple : admin: passwd123!@#, admin.

4. Enregistrez les modifications, quittez, puis redémarrez le service.

Elasticsearch

Exécutez la commande suivante pour modifier le mot de passe de l'utilisateur.

Où ES_HOME_PATH est le chemin d'installation d'Elasticsearch, et passwd est le nouveau mot de passe.

ES_HOME_PATH/bin/elasticsearch-users passwd <UserName>

Samba

1. Exécutez la commande smbpasswd <UserName> pour modifier le mot de passe de l'utilisateur.

2. Saisissez le nouveau mot de passe lorsque vous y êtes invité.

Zabbix

1. Connectez-vous à la console web Zabbix avec un compte administrateur.

2. Dans la barre de menu supérieure, choisissez pour afficher la liste des utilisateurs.

3. Cliquez sur le nom de l'utilisateur cible, puis cliquez sur Change password.

4. Saisissez le nouveau mot de passe, puis cliquez sur Update.