Contraseña de Linux: cómo obligar a un usuario a restablecer su contraseña

Si está administrando una máquina Linux con varios usuarios, es posible que desee o necesite pedirle a un usuario que cambie su contraseña. La causa más probable de este requisito es un escenario de primer uso. Otras posibles razones para cambiar una contraseña, como que el usuario olvide una contraseña, comprometa la contraseña o el ciclo habitual de contraseña obligatoria, no funcionan realmente con el concepto de caducidad manual de la contraseña.

Cuando una contraseña de Linux ha expirado, el usuario debe cambiarla en el próximo inicio de sesión. Si un usuario ha olvidado su contraseña, nunca podrá iniciar sesión y luego cambiar su contraseña. Si la contraseña de un usuario se ve comprometida, debe cambiarse de inmediato; expirar corre el riesgo de que el hacker acceda primero a la cuenta y luego pueda configurar la contraseña con cualquier valor. Si tiene una política que requiere restablecimientos regulares de contraseña, esto debe manejarse automáticamente estableciendo una antigüedad máxima de contraseña en lugar de caducarlas manualmente.

Nota: Idealmente, ya no debería caducar las contraseñas de forma regular, el NCSC y el NIST, así como la comunidad de ciberseguridad en general, han cambiado su orientación pública debido a investigaciones que han demostrado que, al hacerlo, es más probable que las personas elijan débiles y contraseñas redactadas. La guía ahora es que los usuarios cambien las contraseñas solo cuando exista una sospecha razonable de que la contraseña ha sido comprometida. Al no obligar a los usuarios a recordar nuevas contraseñas con regularidad, es más probable que creen y recuerden una contraseña más larga, compleja y segura.

Cuando crea una cuenta para un usuario por primera vez, generalmente se crea con una contraseña temporal. Luego, el usuario debe cambiar esta contraseña por algo que pueda recordar la primera vez que inicie sesión.

Cómo forzar la expiración de una contraseña

Para marcar una contraseña como "caducada" y forzar al usuario a cambiar su contraseña la próxima vez que inicie sesión, debe usar el comando "passwd" junto con la bandera "-e". El indicador "-e" hace que la contraseña de una cuenta caduque inmediatamente, lo que los obligará a cambiar su contraseña la próxima vez que inicien sesión.

El comando completo sería "sudo passwd -e [username]Se requiere sudo ya que el comando requiere permisos de root para ejecutarse.

La seguridad de las contraseñas es increíblemente importante, y no solo en una máquina con Windows; asegúrese de cambiar sus contraseñas (y las de otros usuarios) con frecuencia, para que nadie pueda obtener acceso no autorizado a sus cuentas.