我们服务器的安全审核员在两周内提出了以下要求：

• 所有服务器上所有用户帐户的当前用户名和纯文本密码列表
• 过去六个月所有密码更改的列表，再次以纯文本形式显示
• 过去六个月“从远程设备添加到服务器的每个文件”的列表
• 任何 SSH 密钥的公钥和私钥
• 每次用户更改密码时发送给他的电子邮件，其中包含纯文本密码

我们正在运行带有 LDAP 身份验证的 Red Hat Linux 5/6 和 CentOS 5 机器。

据我所知，该列表中的所有内容要么不可能获得，要么难以获得，但如果我不提供这些信息，我们将面临无法访问我们的支付平台并在过渡期间失去收入的情况，因为我们转向新服务。关于如何解决或伪造这些信息的任何建议？

我能想到的获得所有纯文本密码的唯一方法是让每个人重置他们的密码并记下他们设置的内容。这并不能解决过去六个月更改密码的问题，因为我无法追溯记录此类内容，记录所有远程文件也是如此。

获取所有公共和私人 SSH 密钥是可能的（尽管很烦人），因为我们只有少数用户和计算机。除非我错过了一个更简单的方法来做到这一点？

我已经多次向他解释过，他所要求的东西是不可能的。针对我的担忧，他回复了以下电子邮件：

我在安全审计方面有超过 10 年的经验，并且对 redhat 安全方法有充分的了解，所以我建议你检查你的事实，了解什么是可能的，什么是不可能的。你说没有公司可能拥有这些信息，但我已经进行了数百次审计，这些信息很容易获得。所有 [通用信用卡处理提供商] 客户都必须遵守我们的新安全政策，此审核旨在确保这些政策已正确实施*。

*“新安全策略”是在我们审核前两周引入的，并且在策略更改之前不需要六个月的历史记录。

简而言之，我需要；

• 一种“伪造”六个月的密码更改并使其看起来有效的方法
• 一种“伪造”六个月的入站文件传输的方法
• 一种收集所有正在使用的 SSH 公钥和私钥的简单方法

如果我们未能通过安全审核，我们将无法访问我们的卡处理平台（我们系统的关键部分），并且需要两周时间才能转移到其他地方。我有多烂？

更新 1（周六 23 日）

感谢您的所有回复，知道这不是标准做法让我感到非常欣慰。

我目前正在计划我给他的电子邮件回复，解释情况。正如你们中的许多人指出的那样，我们必须遵守 PCI，其中明确规定我们不应该以任何方式访问纯文本密码。我写完后会发邮件。不幸的是，我不认为他只是在考验我们；这些东西现在在公司的官方安全政策中。然而，我已经让轮子运动起来，暂时离开它们并转移到贝宝上。

更新 2（周六 23 日）

这是我起草的电子邮件，对添加/删除/更改内容有什么建议吗？

嗨[姓名]，

不幸的是，我们无法向您提供某些要求的信息，主要是纯文本密码、密码历史、SSH 密钥和远程文件日志。这些事情不仅在技术上是不可能的，而且能够提供这些信息既违反 PCI 标准，也违反了数据保护法。
引用 PCI 要求，

8.4 使用强密码术在所有系统组件上传输和存储期间使所有密码不可读。

我可以为您提供我们系统上使用的用户名和散列密码的列​​表、SSH 公钥和授权主机文件的副本（这将为您提供足够的信息来确定可以连接到我们服务器的唯一用户数量以及加密使用的方法）、有关我们的密码安全要求和我们的 LDAP 服务器的信息，但这些信息不得带离现场。我强烈建议您查看您的审核要求，因为我们目前无法在遵守 PCI 和数据保护法案的同时通过此审核。

问候，
[我]

我将抄送公司的 CTO 和我们的客户经理，我希望 CTO 可以确认此信息不可用。我还将联系 PCI 安全标准委员会，解释他对我们的要求。

更新 3（26 日） …

我正在一个/etc/fstab基于 RHEL 6.x 的服务器上处理一个复杂的问题。系统在八个分区中使用了多种挂载选项，包括几个绑定挂载。我正在测试选项及其对我正在处理的图像的影响。

如选择喜欢nodev，nosuid，noexec，nobarrier和几个XFS文件系统的参数到位。

虽然我知道可以使用特定选项重新安装，但是否有一种快速的方法可以将所有安装恢复到硬编码的持久设置/etc/fstab？

例如sysctl -p加载/etc/sysctl.conf值并应用它们。有mount等价物吗？

编辑：

一个示例配置：

#
# /etc/fstab
#
UUID=e6ca80cd    /                       ext4    noatime,nobarrier        1 1
UUID=a327d315    /boot                   ext4    defaults                 1 2
UUID=333ada18    /home                   ext4    noatime,nobarrier,nodev  1 2
UUID=7835718b    /tmp                    ext4    nodev,nosuid,noexec      1 2
UUID=4dd2e9d4    /usr                    ext4    defaults                 1 2
UUID=c274f65f    /var                    ext4    noatime,nobarrier        1 2
UUID=5b5941e0    /var/log                ext4    defaults                 1 2
UUID=3645951a    /var/log/audit          ext4    defaults …