pwscore: Comprobar la calidad de las contraseñas
Una pequeña entrada extra, para hablar de la herramienta pwscore. En su día hablamos de las políticas de contraseñas en Linux. Para reforzar estas políticas y también para el día a día, podemos disponer de pwscore que nos informa de la calidad de las contraseñas.
Se trata de una herramienta simple para verificar la calidad de una contraseña dada. Esta se lee a través de stdin.
La herramienta utiliza una biblioteca llamada libpwquality, para realizar comprobaciones configurables de longitud mínima, comprobación de diccionario utilizando cracklib, entre otras comprobaciones.
Al utilizarla muestra un error si la contraseña en alguna de las verificaciones o bien imprime la puntuación de calidad de la contraseña, con un valor entre 0 y 100.
La puntuación por debajo de 50 significa que la contraseña tiene una calidad o fortaleza moderada o menor, en cambio por enzima de este número se puede considerar robusta o muy robusta. Por ejemplo, debería soportar ataques de diccionario o incluso ataques rápidos de fuerza bruta.
Trabajando con pwscore
Antes de nada, si no lo teemos muy claro que contraseñas crear, nos podemos hacer servir de programas como pwgen, que nos ayudarán en esta labor. Una vez ya la tenemos generada, para probarla solo hemos de escribir pwscore.
Si probamos con una contraseña sencilla:
[david@servcentos ~]# pwscore
david1234
Falló la verificación de la calidad de la contraseña:
La contraseña contiene más de 4 caracteres de la misma clase en forma consecutiva.
En cambio, con una bastante más compleja:
[david@servcentos ~]# pwscore
shae!hu8aiFiyo1a5$T
100
Los parámetros de la herramienta se pueden modificar editando el fichero «/etc/security/pwsecurity.conf»
