Linux系统设置密码，忘记后如何重置找回？

Linux系统设置密码的重要性与基本原则

在Linux系统中，密码是保障系统安全的第一道防线，无论是用户账户访问、root权限管理，还是服务认证，都依赖于强密码策略，一个安全的密码能有效防止未授权访问、数据泄露和恶意攻击，设置和管理密码时需遵循以下基本原则：

1. 复杂性与唯一性：密码应包含大小写字母、数字及特殊符号，长度至少12位，且避免与用户名、生日等个人信息相关，不同账户需使用不同密码，避免“一码通用”的风险。
2. 定期更换：定期更新密码可降低密码泄露后的危害，建议每3-6个月更换一次，但频繁更换可能导致用户记不住密码，需平衡安全性与实用性。
3. 避免明文存储：Linux系统通过哈希算法（如SHA-512、bcrypt）加密存储密码，管理员应避免手动处理明文密码，确保密码在传输和存储过程中始终加密。

用户密码设置与管理

普通用户密码设置

对于新创建的普通用户，可通过passwd命令设置密码，创建用户testuser后，执行以下命令：

sudo passwd testuser  

系统会提示输入两次密码，密码输入时不会显示字符（为保护隐私），若需强制用户下次登录时修改密码，可使用passwd -e选项：

sudo passwd -e testuser  

root密码管理

root用户是Linux系统的超级管理员，其密码安全性至关重要，首次安装Linux系统时，通常会提示设置root密码，日常操作中，建议避免直接使用root账户，而是通过sudo命令临时获取权限，若需修改root密码，执行：

sudo passwd root  

密码策略强制执行

为提升整体安全性，可通过pam_pwquality模块强制用户设置复杂密码，编辑/etc/security/pwquality.conf文件，调整以下参数：

• minlen=12：密码最小长度为12位；
• minclass=3：必须包含至少3类字符（如大写、小写、数字、特殊符号）；
• maxrepeat=3：同一字符最多重复3次。

修改后，用户设置密码时需符合这些规则，否则会被系统拒绝。

高级密码安全配置

使用SSH密钥对替代密码

在远程管理中，SSH密码暴力破解是常见攻击方式，推荐使用SSH密钥对（公钥/私钥）进行认证，禁用密码登录，编辑/etc/ssh/sshd_config文件，设置：

PasswordAuthentication no  
PubkeyAuthentication yes  

重启SSH服务后，仅持有私钥的用户才能登录，大幅提升安全性。

密码过期与账户锁定

通过chage命令可管理密码过期策略，设置用户testuser密码90天后过期，提前7天警告，过期后3天内仍可登录，之后强制锁定：

sudo chage -M 90 -W 7 -I 3 testuser  

查看用户密码策略信息：

sudo chage -l testuser  

密码哈希算法升级

旧版Linux系统默认使用MD5或SHA-256哈希密码，存在安全风险，建议升级为更安全的SHA-512或bcrypt，编辑/etc/login.defs文件，修改ENCRYPT_METHOD为SHA512，并确保/etc/pam.d/common-password中包含：

password [success=1 default=ignore] pam_unix.so sha512  

密码安全最佳实践

定期审计密码安全性

使用cracklib或john the ripper工具检查密码强度，通过pwck命令检查密码文件完整性：

sudo pwck  

或使用chage命令排查长期未更换密码的用户：

sudo chage -l $(cat /etc/passwd | cut -d: -f1)  

避免在脚本中硬编码密码

在自动化脚本中，避免直接写入密码，可使用sshpass（非生产环境推荐）或环境变量传递密码。

export DB_PASS="YourSecurePassword"  
mysql -u root -p"$DB_PASS" -e "SHOW DATABASES"  

但更安全的做法是通过密钥管理工具（如pass、Vault）动态获取密码。

多因素认证（MFA）增强安全

对于关键服务（如SSH、sudo），可启用多因素认证，使用Google Authenticator生成动态验证码，安装libpam-google-authenticator后，编辑/etc/pam.d/sshd添加：

auth required pam_google_authenticator.so  

用户登录时需同时输入密码和动态验证码。

密码泄露后的应急处理

若怀疑密码泄露，需立即采取以下措施：

1. 修改密码：第一时间修改所有相关账户的密码，优先处理root和管理员账户。
2. 检查登录日志：通过last或auth.log查看异常登录记录，定位泄露时间范围。
3. 锁定可疑账户：使用usermod -L暂时锁定账户，待调查后再决定是否解锁。
4. 通知相关人员：若密码用于多个服务，需通知其他平台管理员加强监控。

Linux系统的密码安全是整体安全体系的核心，从设置复杂密码到强制策略执行，再到高级认证技术，每一步都需细致管理，管理员应结合系统环境与业务需求，制定合理的密码策略，并定期更新与审计，才能有效抵御安全威胁，保障系统稳定运行，密码安全无小事，唯有防患于未然,才能让Linux系统成为安全可靠的基石。