Le guide complet du fichier / etc / shadow pour Linux
Le stockage de mots de passe à l'intérieur du fichier / etc / passwd est sujet à l'insécurité du système. Les autorisations de fichier pour le fichier Shadow sont définies sur 640 ou 400.
Que couvrirons-nous?
Dans cet article, nous explorerons le fichier de l'ombre dans Linux.
Pourquoi avons-nous besoin du fichier d'ombre?
Le fichier passwd dans Linux est lisible pour tout le monde et pour cette raison, les mots de passe chiffrés ont été transférés dans un autre fichier appelé le fichier Shadow. Il n'est lisible que par root. Le fichier d'ombre est également situé à l'intérieur du dossier / etc à / etc / ombre.
Tout comme le fichier passwd, le premier champ du fichier de l'ombre contient le nom du compte et utilise un côlon pour séparer différents champs. Le fait d'avoir un fichier séparé contenant des mots de passe cryptés facilite également l'ajout de nouveaux paramètres pour un compte. De plus, cela aide à contrôler un compte et contrôle également le vieillissement du mot de passe.
Le fichier de l'ombre est conservé à la lecture pour protéger les mots de passe cryptés. Il s'agit d'une mesure de sécurité importante car toute personne qui a lu l'accès au fichier peut essayer de briser le mot de passe crypté.
Aspects de sécurité du fichier de l'ombre
Le fichier Shadow est un bon outil pour réinitialiser le mot de passe racine d'un système Linux. Nous pouvons localiser la saisie du compte pour l'utilisateur racine et manipuler certains paramètres pour récupérer notre mot de passe racine. Cependant, le processus de récupération de mots de passe à partir du fichier de l'ombre est hors sujet pour l'instant.
Comme mentionné précédemment, le fichier de l'ombre est lisible uniquement par la racine. Si un titulaire de compte inférieur essaie de pirater les autres comptes du système, il va juste lui frapper la tête contre un mur. Si d'une manière ou d'une autre, une personne a accès au mot de passe, le temps de le casser dépend de l'algorithme de chiffrement utilisé. Bien que ce ne soit pas si facile que cela peut prendre quelques minutes à des années pour casser un mot de passe crypté.
Syntaxe du fichier de l'ombre
La syntaxe du fichier de l'ombre est:
Connexion: encyrptedpassword: lastchangedate: min_age: max_age: avertissement: inactivité: expiration_date: réservé
Les champs de la ligne ci-dessus sont représentés en jours. Le dernier changement et expiration sont des champs de date. L'heure de ces champs est prise à partir de la date du début de l'heure Unix i.e., 1er janvier 1970.
Explication des champs dans le fichier de l'ombre
Il y a neuf champs dans ce fichier qui sont délimités par les Colons ':'
Permettez-moi d'expliquer chaque champ ici:
Connexion: chaque ligne d'un fichier d'ombre commence par un nom d'utilisateur. Le nom d'utilisateur lie les entrées dans le fichier de l'ombre de ceux trouvés dans / etc / passwd.
EncryptedPassword: c'est l'espace réservé du mot de passe chiffré. Il n'y a donc évidemment aucune ressemblance avec le vrai mot de passe. Si un * ou ! est placé ici, cela signifie que le compte n'a pas de mot de passe.
Date de la dernièrechange - Il s'agit essentiellement d'une date en termes de nombre de jours pris dès le début de l'heure Unix. C'est l'heure qui donne la date à laquelle le mot de passe a été modifié pour la dernière fois. Si cette valeur est 0, cela signifie que le mot de passe doit être modifié la prochaine fois lorsqu'un utilisateur se connecte.
Minage - Ce champ indique que le mot de passe ne peut être modifié que lorsque la valeur de date est Minage + Lastage. Si ce champ est vide, cela signifie que le mot de passe peut être modifié à tout moment.
Maxage - Ce champ indique que le mot de passe doit être modifié lorsque la valeur de date est Maxage + Lastage. C'est en fait la date à laquelle le mot de passe expire. Pour les mots de passe vides, la date d'expiration est insensée et c'est donc un maximum, des champs d'avertissement et d'inactivité ne sont pas requis.
AVERTISSEMENT - Cela donne un avertissement à un utilisateur pour avoir modifié le mot de passe lorsque la date devient LastChange + Maxage-Warning ou la période d'avertissement du mot de passe a commencé. Si cette valeur est 0 ou vide (vide), cela signifie qu'il n'y a pas de période d'avertissement.
Inactivité - Lorsque le mot de passe a expiré, l'utilisateur peut toujours modifier ses mots de passe jusqu'à ce que les jours d'inactivité. Si ce champ n'est pas rempli, il n'y a pas de période d'inactivité.
Date d'expiration - c'est la date à laquelle le compte d'utilisateur expirera. À partir de cette date, le compte ne sera pas disponible pour la connexion. Si ce champ est vide, le compte n'expirera jamais. Aussi, n'utilisez pas une valeur «0» ici.
Flag spécial: cet endroit n'est normalement pas utilisé et a été mis pour une utilisation future.
Prenons maintenant un exemple pour clarifier notre compréhension des champs ci-dessus. Prenez, par exemple, l'exemple de saisie ci-dessous du fichier de l'ombre:
Linuxhint: 6 $ KKRCC8IP8NKTFJJDZJIJ: 12825: 14: 45: 10: 30: 13096
Décomposons chaque champ étape par étape:
1. Linuxhint est le nom de l'utilisateur.
2. Le champ suivant est le mot de passe crypté de l'utilisateur. C'est un long mot de passe. Cependant, nous l'avons légèrement tronqué pour le bien de la brièveté.
3. L'utilisateur a modifié son mot de passe 12825 jours ou 35 ans, 1 mois et 11 jours, ce qui est le 11 février 2005 depuis Unix Epoch Time I.e. 1er janvier 1970.
4. Le temps minimum après quoi l'utilisateur peut changer son mot de passe est de 14 jours. Pour rendre le mot de passe modifiable à tout moment, définissez ce champ sur 0.
5. Le mot de passe devra être réinitialisé tous les 45 jours.
6. L'avertissement de réinitialisation du mot de passe apparaîtra 10 jours avant la date de la modification.
7. Si le mot de passe expire et qu'aucune action de connexion n'est effectuée pendant 30 jours, le compte d'utilisateur sera désactivé.
8. Après 13096 jours à partir de l'heure de l'époque Unix ou le 9 novembre 2005, le compte expirera.
Conclusion
Le fichier Shadow est un endroit très sécurisé pour stocker les informations de votre compte. Il existe des problèmes de sécurité dans les mots de passe utilisateur solides à l'intérieur du fichier Passwd. Rendre le fichier d'ombre lisible par racine élimine uniquement les chances d'exploitation du mot de passe par les utilisateurs et attaquants inférieurs.