리눅스 비밀번호 정책 강화 방법, /etc/login.defs와 pam_pwquality 설정으로 보안 업그레이드

📂 /etc/login.defs 주요 설정 항목

리눅스에서 사용자 계정과 관련된 기본 비밀번호 정책은 /etc/login.defs 파일에 정의되어 있습니다.
이 파일은 신규 계정을 생성할 때 기본적으로 적용되는 규칙을 지정하며, 보안 강화를 위해 반드시 검토해야 하는 핵심 설정들이 모여 있습니다.
아래에서는 특히 비밀번호 보안과 직결되는 주요 항목을 설명합니다.

🔑 비밀번호 최소 길이 (PASS_MIN_LEN)

비밀번호 최소 길이를 설정하는 항목입니다.
예를 들어 PASS_MIN_LEN 12로 지정하면, 최소 12자 이상을 입력해야 비밀번호로 인정됩니다.
길이가 길수록 무차별 대입 공격(Brute Force Attack)에 대한 방어력이 높아집니다.

⏳ 비밀번호 최대 사용 기간 (PASS_MAX_DAYS)

비밀번호의 유효기간을 설정합니다.
예를 들어 PASS_MAX_DAYS 90으로 설정하면, 비밀번호를 만든 지 90일이 지나면 반드시 변경해야 합니다.
이렇게 하면 장기간 동일한 비밀번호 사용으로 인한 보안 취약점을 줄일 수 있습니다.

📆 비밀번호 변경 최소 주기 (PASS_MIN_DAYS)

비밀번호를 변경한 뒤 최소 며칠이 지나야 다시 변경할 수 있는지를 지정합니다.
이 값은 사용자가 짧은 기간 동안 여러 번 변경해 이전 비밀번호로 되돌리는 것을 방지합니다.
예를 들어 PASS_MIN_DAYS 7이면, 비밀번호 변경 후 최소 7일은 다시 변경할 수 없습니다.

• 🛠️PASS_MIN_LEN : 비밀번호 최소 길이
• ⚙️PASS_MAX_DAYS : 비밀번호 최대 사용 기간
• 📆PASS_MIN_DAYS : 비밀번호 변경 최소 주기

# /etc/login.defs 예시 설정
PASS_MIN_LEN   12
PASS_MAX_DAYS  90
PASS_MIN_DAYS  7

⚙️ pam_pwquality 모듈로 복잡성 강화

리눅스에서 비밀번호의 복잡성을 세밀하게 제어하려면 pam_pwquality 모듈을 활용하는 것이 좋습니다.
이 모듈은 단순히 길이 제한만 두는 것이 아니라, 대문자·소문자·숫자·특수문자의 포함 여부까지 검증해 보안을 한층 강화할 수 있습니다.
설정 파일은 보통 /etc/security/pwquality.conf 또는 /etc/pam.d/system-auth에 적용됩니다.

🔍 주요 옵션 설명

💻 설정 예시

# /etc/security/pwquality.conf 예시
minlen = 12
ucredit = -1
lcredit = -1
dcredit = -1
ocredit = -1

🕒 비밀번호 만료 기간과 변경 주기 설정

비밀번호 만료 정책은 사용자가 동일한 암호를 장기간 사용하지 않도록 강제해 침해 사고의 확률을 낮추는 핵심 요소입니다.
리눅스에서는 신규 계정의 기본 만료 규칙을 /etc/login.defs로 정의하고, 이미 존재하는 계정은 chage 명령으로 개별 관리합니다.
조합해야 할 주요 항목은 최대 사용 기간, 최소 변경 간격, 만료 경고일이며, 환경에 맞는 균형 잡힌 값이 중요합니다.

📐 PASS_MAX_DAYS, PASS_MIN_DAYS, PASS_WARN_AGE 관계

신규 계정 기본값은 /etc/login.defs에서 정의합니다.
PASS_MAX_DAYS는 동일 비밀번호를 사용할 수 있는 최대 일수입니다.
PASS_MIN_DAYS는 변경 후 다시 바꾸기까지 필요한 최소 대기일입니다.
PASS_WARN_AGE는 만료 전 사용자에게 경고를 시작하는 일수입니다.
아래 예시처럼 조합하면 90일 사용, 7일 최소 간격, 만료 14일 전 경고가 적용됩니다.

# /etc/login.defs (신규 계정 기본값)
PASS_MAX_DAYS  90
PASS_MIN_DAYS  7
PASS_WARN_AGE  14

🧰 기존 계정에 적용하기: chage 사용법

이미 생성된 계정은 /etc/login.defs 변경만으로 값이 바뀌지 않습니다.
이때는 chage로 개별 설정을 갱신합니다.
대표 옵션은 최대 사용 기간(-M), 최소 변경 간격(-m), 경고 시작일(-W), 계정 만료일(-E)입니다.
설정 상태 확인은 -l을 사용합니다.

# 현재 사용자 설정 확인
sudo chage -l alice

# 90일 만료, 7일 최소 간격, 만료 14일 전 경고
sudo chage -M 90 -m 7 -W 14 alice

# 특정 날짜(YYYY-MM-DD)로 계정 만료일 지정
sudo chage -E 2025-12-31 alice

🔄 강제 변경과 만료 알림 워크플로

보안 이벤트나 규정 변경 시 즉시 비밀번호 재설정을 강제해야 할 때가 있습니다.
이 경우 마지막 변경일을 초기화하거나 만료일을 과거로 설정해 다음 로그인 시 변경을 요구하도록 할 수 있습니다.
또한 만료 경고일을 충분히 길게 두고 안내 메시지와 함께 사내 공지를 병행하면 사용자 혼란을 줄일 수 있습니다.

# 다음 로그인 때 반드시 변경 요구
sudo chage -d 0 alice

# 오늘 기준으로 만료 처리(사용자가 즉시 변경해야 함)
sudo chage -E 0 alice

• 🛠️신규 계정 기본값은 /etc/login.defs에서 관리하기
• 🔎기존 계정은 chage -l 사용자로 현황 점검하기
• ⚖️업무 특성에 맞춰 MAX·MIN·WARN 값을 균형 있게 조정하기

🔍 설정 적용 여부와 테스트 방법

비밀번호 정책을 수정한 뒤에는 실제로 설정이 정상 반영되었는지 반드시 확인해야 합니다.
설정이 적용되지 않은 상태에서 사용자가 약한 비밀번호를 생성하면, 모든 보안 노력이 무용지물이 될 수 있습니다.
이 과정에서는 새로운 계정 생성 시도, 비밀번호 변경 테스트, 로그 모니터링이 핵심입니다.

🧪 신규 계정 생성 테스트

관리자 계정에서 useradd로 테스트 계정을 만들고 비밀번호를 설정해 봅니다.
설정한 최소 길이나 복잡성 규칙에 맞지 않으면 거부 메시지가 출력되어야 합니다.
이때 passwd 명령어로 직접 입력해 보는 것이 가장 확실한 방법입니다.

# 테스트 계정 생성
sudo useradd testuser

# 비밀번호 설정 (규칙 위반 시 에러 메시지 출력)
sudo passwd testuser

📜 비밀번호 변경 시도

기존 계정에서도 passwd 명령을 사용해 정책 준수 여부를 확인할 수 있습니다.
예를 들어 너무 짧거나 단순한 문자열을 입력하면 BAD PASSWORD 경고와 함께 거부됩니다.
이는 pam_pwquality 모듈이 정상 동작하는 신호입니다.

📂 로그 파일 확인

시스템 로그에는 비밀번호 변경 거부 사유와 관련된 메시지가 기록됩니다.
예를 들어 CentOS/RHEL 계열은 /var/log/secure, Debian/Ubuntu 계열은 /var/log/auth.log에서 확인할 수 있습니다.
정책 위반 시 메시지를 기록하도록 PAM 설정이 구성되어 있다면, 문제 원인 분석이 훨씬 쉬워집니다.

# CentOS/RHEL
sudo tail -f /var/log/secure

# Debian/Ubuntu
sudo tail -f /var/log/auth.log

• 🛠️신규 계정 생성 시 정책 적용 여부 확인
• 🔄기존 계정에서 비밀번호 변경 테스트
• 📑로그 파일에서 위반 메시지와 정책 동작 여부 확인

💡 보안 설정 시 주의할 점과 팁

비밀번호 정책 강화는 보안성을 높이는 강력한 방법이지만, 무작정 강하게만 설정하면 사용자 불편이 커지고 오히려 보안이 약화될 수 있습니다.
실제 운영 환경에서는 보안성과 사용성의 균형을 유지하며, 규정 위반 가능성을 최소화하는 것이 중요합니다.

⚖️ 보안성과 편의성의 균형 맞추기

너무 긴 비밀번호 길이나 과도한 복잡성 요구는 사용자가 비밀번호를 메모하거나 재사용하게 만들 수 있습니다.
반대로 규칙이 너무 약하면 침해 시도의 성공률이 높아집니다.
따라서 정책은 조직의 보안 수준, 사용자 수, 업무 특성 등을 종합해 결정하는 것이 바람직합니다.

📢 사용자 교육과 공지

정책 적용 전에 사전 안내와 교육을 진행하면 혼란을 줄일 수 있습니다.
비밀번호 변경 시기, 규칙 위반 시 메시지, 안전한 비밀번호 작성법 등을 안내문과 내부 포털에 게시하세요.
필요하다면 정책 적용 직후 초기 지원 창구를 운영해 사용자 불만과 문제를 신속히 해결할 수 있도록 합니다.

🔄 주기적 검토와 개선

비밀번호 정책은 한 번 설정하고 끝나는 것이 아니라, 새로운 보안 위협과 기술 변화에 맞춰 주기적으로 검토해야 합니다.
예를 들어, 최근에는 복잡성보다는 길이에 중점을 둔 패스프레이즈(passphrase) 사용이 권장되는 추세입니다.
또한 MFA(다중 인증)와 함께 사용하면 보안성이 크게 향상됩니다.

• 🛠️보안 규칙은 조직 환경에 맞춰 최적화
• 📢정책 적용 전 충분한 사용자 안내
• 🔄정기적인 정책 점검 및 최신화
• 🛡️MFA와 병행해 보안성 극대화

❓ 자주 묻는 질문 (FAQ)