6.6. Le password di Linux e il formato shadow
I sistemi Unix tradizionali mantengono le informazioni sugli account degli utenti, comprese le password criptate, in un file di testo chiamato "/etc/passwd". Poiché tale file viene utilizzato da molti strumenti (come "ls") per visualizzare la proprietà dei file o altro, confrontando gli user id # con le user name, deve necessariamente essere leggibile. Ciò comporta alcuni rischi per la sicurezza.
Un altro modo per memorizzare le informazioni degli account, quello che io uso sempre, è utilizzare il formato shadow password. Esattamente come quello tradizionale, questo metodo memorizza le informazioni sugli account nel file /etc/passwd. Soltanto che la password viene memorizzata con un singolo carattere "x" (cioè non viene memorizzata veramente in questo file). Un secondo file, chiamato "/etc/shadow", contiene le password criptate oltre ai valori di scadenza dell'account o della password, ecc. Il file /etc/shadow può essere letto solo da chi ha l'account di root, quindi molto più sicuro.
Mentre alcune distribuzioni di Linux vi obbligano ad installare la Shadow Password Suite che vi permette di utilizzare il formato shadow, Red Hat fa le cose più semplice. Per passare da un formato all'altro, digitate (come root):
/usr/sbin/pwconv Per passare al formato shadow /usr/sbin/pwunconv Per tornare al formato tradizionale |
Con le shadow password, il file "/etc/passwd" contiene le informazioni sugli account e appare così:
smithj:x:561:561:Joe Smith:/home/smithj:/bin/bash |
Ogni riga contiene campi separati dal carattere ":" e sono i seguenti:
Username, fino a 8 caratteri. Case-sensitive e, di solito, tutti caratteri minuscoli.
Una "x" nel campo password. Le Password sono memorizzate nel file "/etc/shadow".
User id numerico, assegnato dallo script "adduser". Unix utilizza questo campo oltre a quello, del gruppo, che segue per stabilire quali file appartengano all'utente.
Group id numerico. Red Hat utilizza gli id di gruppo in un unica maniera per aumentare la sicurezza sui file. Di solito l'id del gruppo è uguale allo User id.
Nome completo dell'utente. Non sono sicuro di quale sia la lunghezza massima per questo campo, ma vi consiglierei di non usare più di 30 caratteri.
La home directory dell'utente. Di solito /home/username (nell'esempio: /home/smithj). Tutti i file personali dell'utente, le pagine web, le e-mail inviate, sono memorizzati qui.
Lo "shell account" dell'utente. Spesso impostato a "/bin/bash" che fornisce l'accesso alla shell bash (quella che preferisco).
Se non volete fornire degli shell account ai vostri utenti, potreste creare uno script chiamato "/bin/sorrysh", per esempio, che mostrerà un messaggio di errore e non farà accedere l'utente. Impostate questo script come la loro shell predefinita.
 | Se l'account ha bisogno dell'"FTP" per aggiornare le pagine web o per altro, allora dovrete impostare lo shell account a "/bin/bash" e poi dovrete impostare dei permessi speciali nella home directory dell'utente per impedirgli di accedere alla shell. Si veda la Sezione 7.1 per maggiori dettagli. |
Il file "/etc/shadow" contiene la password e le informazioni sulla scadenza degli account degli utenti, e appare così:
smithj:Ep6mckrOLChF.:10063:0:99999:7::: |
Come già visto in precedenza, anche qui i campi sono saparati dal carattere ":", e sono i seguenti:
Username, massimo 8 caratteri. Case-sensitive e, di solito, tutti minuscoli. Con corrispondenza diretta alla username presente nel file /etc/passwd.
Password, 13 caratteri criptati. Se il campo è vuoto (es. ::) allora vuol dire che non c'è bisogno di password per accedere al sistema (caldamente sconsigliato); se il campo contiene un asterisco (es. :*:) allora l'account è disabilitato.
Il numero di giorni (dal 1° gennario 1970) dall'ultima modifica della password.
Il numero di giorni che devono passare prima che la password possa essere modificata (0 indica che può essere cambiata in qualsiasi momento)
Il numero di giorni trascorsi i quali la password deve essere cambiata (99999 indica che l'utente può mantenere la stessa password per molti anni)
Il numero dei giorni dopo i quali bisogna avvertire l'utente che la password è scaduta (7 per un intera settimana).
Il numero dei giorni dopo i quali la password scade e l'account viene disabilitato.
Il numero di giorni dal 1° Gennaio 1970 trascorsi dalla disabilitazione di un account.
Un campo riservato a possibili usi futuri.