Пароли и файл /etc/shadow

2.1 Почему пароли хранятся отдельно

Файл /etc/passwd должны читать все программы: ls -l по нему превращает UID владельца в имя, а id выводит имена групп. Поэтому права на него открывают чтение всем пользователям. В ранних версиях Unix во втором поле этого файла хранился хеш пароля, и любой пользователь мог скопировать хеши и подбирать к ним пароли на своём компьютере.

Чтобы закрыть эту возможность, хеши перенесли в отдельный файл /etc/shadow. Читать его может только root и программы проверки паролей из группы shadow. В /etc/passwd на месте пароля осталась буква x — отметка «пароль в shadow».

Права доступа в первом столбце ls -l записаны тремя тройками символов: для владельца, для группы файла и для всех остальных. r — чтение, w — запись, x — выполнение, прочерк — права нет. У /etc/passwd права rw-r--r--: владелец root читает и пишет, остальные только читают. У /etc/shadow права rw-r-----: у остальных пользователей прав нет.

1234

1. 1passwd: остальные могут читать (r--)
2. 2shadow: у остальных прав нет (---)
3. 3группа shadow — программы проверки паролей
4. 4обычный пользователь shadow прочитать не может

Весь снимок ↗

Права на /etc/passwd и /etc/shadow и отказ при чтении shadow.

Что показывает снимок. /etc/passwd открыт для чтения всем, /etc/shadow — только root и группе shadow; обычному пользователю shadow не отдаётся.

Где это пригодится. Права на файлы с секретами — ключами, паролями баз данных, токенами — настраивают так же: владелец читает, остальным доступ закрыт.

2.2 Хеш пароля

Система не хранит сам пароль. При смене пароля к нему добавляется соль — случайная строка, — и от результата вычисляется хеш: строка фиксированной длины, по которой нельзя восстановить исходный пароль. При входе система берёт введённый пароль, вычисляет хеш с той же солью и сравнивает результат с записанным. Совпали — пароль верный.

Соль нужна, чтобы одинаковые пароли давали разные хеши. Если две учётные записи получили одинаковый пароль, соль у них разная, и хеши тоже получаются разными. Поэтому по совпадению хешей нельзя узнать, у кого одинаковые пароли.

Хеш похож на отпечаток пальца: по отпечатку можно проверить, тот ли это человек, но восстановить по нему самого человека нельзя.

Второе поле строки /etc/shadow состоит из частей, разделённых знаком $. Для примера взято поле учебной учётной записи anna: эту запись мы создадим в части 5 и там же увидим её строку на снимке.

2.3 Поля /etc/shadow

Строка /etc/shadow состоит из девяти полей. Первое — имя учётной записи, второе — хеш пароля. Остальные поля задают сроки: когда пароль менялся последний раз и как часто его нужно менять. Даты записаны номером дня, отсчитанным от 1 января 1970 года.

Прочитать /etc/shadow можно только с правами администратора, поэтому команды ниже начинаются с sudo. Команда grep отбирает строки, в которых встречается слово. Команда passwd -S выводит состояние пароля кратко: имя, код состояния (P — пароль задан, NP — пароля нет, L — заблокирован), дату смены и сроки.

12345678

1. 1имя учётной записи
2. 2поле пароля пусто: в Live-сеансе пароль не задан
3. 3день последней смены: 20717-й день с 1 января 1970 года
4. 4минимум дней между сменами
5. 5максимум дней до обязательной смены
6. 6за сколько дней предупреждать
7. 7* — вход по паролю невозможен
8. 8NP — пароля нет

Весь снимок ↗

Поля /etc/shadow у пользователя Live-сеанса и у служебной записи.

Что показывает снимок. У пользователя Live-сеанса поле пароля пусто и состояние NP; у служебной записи www-data в поле пароля стоит *.

Где это пригодится. passwd -S быстро показывает, задан ли пароль и не заблокирована ли учётная запись, без чтения /etc/shadow глазами.