首页/系统/信创系统运维速查/口令历史(禁止重复使用)配置
安全加固65 条

口令历史(禁止重复使用)配置

等保要求口令不得重复使用:pam_pwhistory 记录历史口令哈希并限制重复次数;配置进 PAM 口令栈,改完用 passwd 实测生效。

信创系统运维速查系统更新于 2026-10-12

配置 /etc/pam.d/system-auth(示例 remember=5)

配置 /etc/pam.d/system-auth(示例 remember=5)
password    requisite     pam_pwhistory.so remember=5
password    sufficient    pam_unix.so sha512 shadow try_first_pass use_authtok
# 改完验证:
passwd testuser    # 连续改密,重复旧口令应被拒绝
pam_pwhistory 管复用,pam_pwquality 管复杂度(长度/字符集),两者职责不同;历史记录多在 /etc/security/opasswd。

易错点

  • PAM 配置错误可能导致全系统无法登录:改前备份 system-auth,先保留一个本地 root 会话再改
  • 机制从启用后开始记录:存量用户先完成一次改密,历史链条才开始生效

数据来源与参考

  • man 8 pam_pwhistory
  • 红帽 PAM 指南
  • 等保 2.0 身份鉴别要求
​‌‌​​‌​​​‌‌​‌‌‌‌​‌‌​​​‌‌​‌‌‌​​‌‌​​‌​‌‌‌​​‌‌‌​​​‌​‌‌​‌​​‌​‌‌‌​​​‌​‌‌​‌​​‌​‌‌​​​‌‌​‌‌‌​‌​​​‌‌​‌‌‌‌​​‌​‌‌‌​​‌‌​​​‌‌​‌‌​‌‌‌‌​‌‌​‌‌​‌