Linuxオペレーティングシステムのパスワードセキュリティ問題の詳細

ほとんどすべてのUnixライクオペレーティングシステムのパスワードファイルのフォーマットは同じで、Linuxも例外ではありません。パスワードセキュリティは、Linuxオペレーティングシステムの伝統的なセキュリティ問題の1つです。従来のパスワードとシャドウパスワード/etc /passwdは、ユーザーに関する基本情報を格納したパスワードファイルです。パスワードファイルの各行には、6つのコロンで区切られた7つのフィールドがあります。username：passwd：uid：gid：comments：directory：shell上記の7つのフィールドは、次のように記述されています。名前Passwd：はパスワード暗号文ドメインです。暗号文は暗号化されたパスワードです。パスワードがshadowを渡すと、password ciphertextフィールドにはxのみが表示されます通常、セキュリティを確保するためにパスワードはshadowされるべきです。パスワード暗号化テキストフィールドが*と表示されている場合、ユーザ名は有効ですがログインできません。パスワード暗号化テキストフィールドが空の場合は、ログインにパスワードが必要ないことを意味します。 Uid：システムがユーザ名を一意に識別するために使用する番号uidシステムは、次のように割り当てられます：0スーパーユーザ1〜10デーモンおよび擬似ユーザ11〜99システム予約ユーザ100〜通常ユーザgid：ユーザのデフォルトグループ番号を示します。 /etc /groupファイルによって決まります。コメント：ユーザーの個人情報を説明してください。ディレクトリ：ユーザーの初期作業ディレクトリを定義します。 Shell：システムにログインした後に起動するユーザーを指定するシェルです。表1は、インストールプロセス中にシステムによって作成された標準ユーザーをリストしたもので、その内容は/etc /passwdファイルの説明と一致しています。 Linuxでは、パスワードの暗号化にDESなどの不可逆暗号化アルゴリズムを使用していますが、暗号化アルゴリズムは不可逆であるため、暗号化されたものではありません。平文へ。しかし、問題は、/etc /passwdファイルがグローバルに読み取り可能で、暗号化アルゴリズムが公開されていることです。悪意のあるユーザーが/etc /passwdファイルを入手すると、すべての平文を使い果たし、同じアルゴリズムで秘密を計算できます。テキストは同じまで比較されるので、彼はパスワードを解読します。したがって、このセキュリティ問題のために、Linux /Unixは暗号化されたパスワードを/etc /shadowファイルに転送するための "shadow"メカニズムを広く採用しています。 etc /passwdファイルの暗号文フィールドはxとして表示され、暗号文が漏洩する可能性を最小限に抑えます。 /etc /shadowファイルの各行は、8つのコロンで区切られた9つのフィールドです。username：passwd：lastchg：min：max：warn：inactive：expire：flagここで、lastchg：は、1970年1月1日からを示します。パスワードが最後に変更されてからの日数。 Min：パスワードが変更されるまでに経過した日数を示します。最大：パスワードが有効になる最大日数を示します（99999の場合、期限切れにならないことを意味します）。警告：パスワードの有効期限が切れるまでの何日後にシステムがユーザーに警告するかを示します。非アクティブ：ログイン前にユーザー名が無効である日数を示します。有効期限：ユーザーがログインを禁止されている時期を示します。 0フラグ：無意味、使用されていないシャドウパスワードを有効にするRedHat Linuxはデフォルトでシャドウをインストールしますが、システムの/etc /passwdファイルにまだ暗号化されたテキストが表示されている場合は、シャドウが有効になっていません。 pwconvを実行してshadowを有効にすることができます。 RedHat Linux 7.1では、shadowユーティリティー（shadow utils）に、以下の機能をサポートするいくつかのツールが含まれています。従来のパスワードとshadowパスワードの間の変換ツール：pwconv、pwunconv。パスワード、グループ、および対応するシャドウファイル（pwck、grpck）を確認します。業界標準の方法でユーザーアカウントを追加、削除、および変更します（useradd、usermod、userdel）。業界標準の方法（groupadd、groupmod、groupdel）でユーザーグループを追加、削除、および変更します。業界標準の方法でファイル/etc /groupを管理します。システムでシャドウメカニズムが有効になっているかどうかにかかわらず、上記のツールは通常どおり使用できます。 Linuxパスワードの最小長を変更するLinuxシステムのデフォルトの最小パスワード長は5文字ですが、パスワードの堅牢性を保証するのに十分ではないため、8文字以上に変更する必要があります。 PASS_MIN_LEN 5がPASS_MIN_LEN 8に変更されました。