1. 概述
Linux系统加固是保护系统安全的一项重要工作，其中保护登陆密码安全尤为关键。登陆密码是用户与Linux系统交互的主要途径，如果被恶意攻击者获取，将导致严重的安全问题。为了保护登陆密码的安全，下面将介绍一些常用的方法和技巧。
2. 使用强密码
2.1 设定密码策略
为了保证密码的安全性，可以设定一些密码策略，如：密码长度、字符种类、密码过期时间等。可以使用Linux系统提供的工具如pam_cracklib来设定密码策略。
以下是一些常用的密码策略设置：
# 设置密码长度不少于8个字符
minlen=8
# 密码中需要包含数字
dcredit=-1
# 密码中需要包含小写字母
lcredit=-1
# 密码中需要包含大写字母
ucredit=-1
# 密码中需要包含特殊字符
ocredit=-1
# 密码过期时间设置为90天
PASS_MAX_DAYS=90
2.2 避免使用弱密码
弱密码是指容易被猜解、破解的密码，如常见的生日、用户名、连续字符等。为了防止使用弱密码，可以使用pam_pwquality模块来限制密码的强度。
以下是一些常用的密码强度设置：
# 密码至少包含3个大写字母
ucredit=-3
# 密码至少包含3个小写字母
lcredit=-3
# 密码至少包含3个数字
dcredit=-3
# 密码至少包含2个特殊字符
ocredit=-2
# 密码不能与最近5次的密码相同
remember=5
3. 使用双因素认证
3.1 使用SSH密钥登陆
SSH密钥登陆是一种常见的双因素认证方式，通过私钥和公钥的配对使用，提高了登陆的安全性。可以使用ssh-keygen命令生成密钥对，并将公钥添加到目标系统的~/.ssh/authorized_keys文件中。
# 生成密钥对
$ ssh-keygen -t rsa
# 将公钥添加到目标系统中
$ cat ~/.ssh/id_rsa.pub >> ~/.ssh/authorized_keys
3.2 使用多因素认证
除了SSH密钥登陆外，还可以使用其他多因素认证方式，如OTP、硬件令牌等。这些方式需要用户在登陆时除了输入密码外，还需要提供另外的验证信息，提高了系统的安全性。
4. 定期更改密码
定期更改密码是保护登陆密码安全的重要措施之一。可以设置密码过期时间，强制用户定期更改密码。使用chage命令可以实现密码过期时间的设置。
# 设置用户密码90天过期
$ chage -M 90 username
5. 防止密码被猜解
5.1 禁止root用户登陆
禁止root用户直接登陆是一种常见的防止密码被猜解的方法。通过禁止root用户登陆，可以使攻击者无法直接使用root用户来进行密码破解。可以编辑/etc/ssh/sshd_config文件，将PermitRootLogin设置为no。
# 禁止root用户直接登陆
PermitRootLogin no
5.2 使用锁定策略
锁定策略可以防止密码被暴力破解。可以设置密码错误次数限制，并锁定用户账号一段时间，以防止攻击者进行暴力破解。可以使用pam_tally2模块来实现这种锁定策略。
# 设置密码错误次数限制为3次，并锁定账号5分钟
auth required pam_tally2.so deny=3 unlock_time=300
6. 监控登陆行为
6.1 使用日志审计
使用日志审计可以监控系统的登陆行为，发现异常登陆情况。可以使用auditd服务来实现日志审计功能。通过监控日志，可以及时发现登陆异常，保护登陆密码的安全。
以下是一些常用的日志审计设置：
# 监控登录事件
-a exit,always -F arch=b64 -S execve -C uid!=euid -F euid=0
-a exit,always -F arch=b64 -S execve -C gid!=egid -F egid=0
-w /var/log/
6.2 设置登陆提示
设置登陆提示可以提醒用户保存密码的安全性和注意登陆安全。可以编辑/etc/issue文件，在登陆时显示提示信息。
# 设置登陆提示信息
This system is for authorized users only.
总结
保护登陆密码的安全是Linux系统加固中的重要环节，通过使用强密码、双因素认证、定期更改密码、防止密码被猜解和监控登陆行为等措施，可以提高系统的安全性。希望本文介绍的方法和技巧能对加固Linux系统的工作有所帮助。