[Oracle]密码及账号策略设定

旧城等待， 2022-08-26 11:24 285阅读 0赞

从10g开始，Oracle修改了DEFAULT资源限制，设置FAILED\_LOGIN\_ATTEMPTS的值为3，这避免了恶意破解用户密码的可能性。

SQL> select \* from v$version;

BANNER  
\----------------------------------------------------------------  
Oracle Database 10g Enterprise Edition Release 10.2.0.4.0 - 64bi  
PL/SQL Release 10.2.0.4.0 - Production  
CORE    10.2.0.4.0      Production  
TNS for Solaris: Version 10.2.0.4.0 - Production  
NLSRTL Version 10.2.0.4.0 - Production

SQL> select \* from dba\_profiles;

PROFILE                        RESOURCE\_NAME                    RESOURCE LIMIT  
\------------------------------ -------------------------------- -------- ------------------  
DEFAULT                        COMPOSITE\_LIMIT                  KERNEL   UNLIMITED  
DEFAULT                        SESSIONS\_PER\_USER                KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_SESSION                  KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_CALL                     KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_SESSION        KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_CALL           KERNEL   UNLIMITED  
DEFAULT                        IDLE\_TIME                        KERNEL   UNLIMITED  
DEFAULT                        CONNECT\_TIME                     KERNEL   UNLIMITED  
DEFAULT                        PRIVATE\_SGA                      KERNEL   UNLIMITED  
DEFAULT                        FAILED\_LOGIN\_ATTEMPTS            PASSWORD 10  
DEFAULT                        PASSWORD\_LIFE\_TIME               PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_REUSE\_TIME              PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_REUSE\_MAX               PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_VERIFY\_FUNCTION         PASSWORD NULL  
DEFAULT                        PASSWORD\_LOCK\_TIME               PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_GRACE\_TIME              PASSWORD UNLIMITED

已选择16行。

但是同时引发了另一个问题，虽然其他用户试图通过暴力破解的方式猜测用户密码变得不可能，但是可以通过不断尝试，导致用户帐号被锁定，同样达到影响业务正常运行的目的。

在11g中，Oracle的延迟错误密码验证是解决这个问题的一个好方法，可以参考：[http://yangtingkun.itpub.net/post/468/505041][http_yangtingkun.itpub.net_post_468_505041]

同时Oracle也考虑到帐号被锁定后引发的管理问题，因此有一次修改了默认PROFILE：

SQL> select \* from dba\_profiles;

PROFILE                        RESOURCE\_NAME                    RESOURCE LIMIT  
\------------------------------ -------------------------------- -------- -----------------  
DEFAULT                        COMPOSITE\_LIMIT                  KERNEL   UNLIMITED  
DEFAULT                        SESSIONS\_PER\_USER                KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_SESSION                  KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_CALL                     KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_SESSION        KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_CALL           KERNEL   UNLIMITED  
DEFAULT                        IDLE\_TIME                        KERNEL   UNLIMITED  
DEFAULT                        CONNECT\_TIME                     KERNEL   UNLIMITED  
DEFAULT                        PRIVATE\_SGA                      KERNEL   UNLIMITED  
DEFAULT                        FAILED\_LOGIN\_ATTEMPTS            PASSWORD 3                                        \-- 密码出错次数（超过后账号将锁定）  
DEFAULT                        PASSWORD\_LIFE\_TIME               PASSWORD 180                                      \-- 密码有效期(天）  
DEFAULT                        PASSWORD\_REUSE\_TIME              PASSWORD UNLIMITED                   \-- 密码不能重新用的天数  
DEFAULT                        PASSWORD\_REUSE\_MAX               PASSWORD UNLIMITED                   \-- 密码重用之前修改的最少次数  
DEFAULT                        PASSWORD\_VERIFY\_FUNCTION         PASSWORD NULL                        
DEFAULT                        PASSWORD\_LOCK\_TIME               PASSWORD  1                                        -- 超过了1天后，帐号自动解锁  
DEFAULT                        PASSWORD\_GRACE\_TIME              PASSWORD  7                                      -- 密码到期提前7天提配

已选择16行。

Oracle将PASSWORD\_LOCK\_TIME的值设置为1，这样当输入多次密码导致帐号被锁定后，只要超过了1天后，帐号自动解锁，这样可以避免DBA手工干预引入的管理代价。

SQL> select \* from v$version;

BANNER  
\--------------------------------------------------------------------------------  
Oracle Database 11g Enterprise Edition Release 11.2.0.1.0 - 64bit Production  
PL/SQL Release 11.2.0.1.0 - Production  
CORE    11.2.0.1.0      Production  
TNS for Linux: Version 11.2.0.1.0 - Production  
NLSRTL Version 11.2.0.1.0 - Production

SQL> **alter profile default limit password\_lock\_time 1/24;**

配置文件已更改

SQL> select \* from dba\_profiles;

PROFILE                        RESOURCE\_NAME                    RESOURCE LIMIT  
\------------------------------ -------------------------------- -------- ------------------  
DEFAULT                        COMPOSITE\_LIMIT                  KERNEL   UNLIMITED  
DEFAULT                        SESSIONS\_PER\_USER                KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_SESSION                  KERNEL   UNLIMITED  
DEFAULT                        CPU\_PER\_CALL                     KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_SESSION        KERNEL   UNLIMITED  
DEFAULT                        LOGICAL\_READS\_PER\_CALL           KERNEL   UNLIMITED  
DEFAULT                        IDLE\_TIME                        KERNEL   UNLIMITED  
DEFAULT                        CONNECT\_TIME                     KERNEL   UNLIMITED  
DEFAULT                        PRIVATE\_SGA                      KERNEL   UNLIMITED  
DEFAULT                        FAILED\_LOGIN\_ATTEMPTS            PASSWORD 10  
DEFAULT                        PASSWORD\_LIFE\_TIME               PASSWORD 180  
DEFAULT                        PASSWORD\_REUSE\_TIME              PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_REUSE\_MAX               PASSWORD UNLIMITED  
DEFAULT                        PASSWORD\_VERIFY\_FUNCTION         PASSWORD NULL  
DEFAULT                        PASSWORD\_LOCK\_TIME               PASSWORD .0416  
DEFAULT                        PASSWORD\_GRACE\_TIME              PASSWORD 7

已选择16行。

SQL> conn test/test  
ERROR:  
ORA-01017: invalid username/password; logon denied

警告: 您不再连接到 ORACLE。  
SQL> conn test/test  
ERROR:  
ORA-01017: invalid username/password; logon denied

SQL> conn test/test  
ERROR:  
ORA-01017: invalid username/password; logon denied

SQL> conn / as sysdba  
已连接。  
SQL> select username, account\_status from dba\_users where username = 'TEST';

USERNAME                       ACCOUNT\_STATUS  
\------------------------------ --------------------------------  
TEST                           LOCKED(TIMED)

一旦超过PASSWORD\_LOCK\_TIME的时间，帐号自动解锁，但是不适用帐号被管理员手工锁定的情况。

设置一个合理的PASSWORD\_LOCK\_TIME的值，可以有效的降低用户被恶意锁定所带来的危害，同时避免帐号被恶意破解。

转载自：[http://blog.itpub.net/4227/viewspace-673255][http_blog.itpub.net_4227_viewspace-673255]

[http_yangtingkun.itpub.net_post_468_505041]: http://yangtingkun.itpub.net/post/468/505041
[http_blog.itpub.net_4227_viewspace-673255]: http://blog.itpub.net/4227/viewspace-673255