Власне, / etc / shadow створено, щоб дозволити відійти від загальнодоступного списку імен користувачів та паролів.
Повісьте там, це буде трохи урок історії, перш ніж ми дійдемо до фактичної відповіді. Якщо історія вас не хвилює, просто прокрутіть трохи вниз.
За старих часів Unix-подібні ОС, включаючи Linux, як правило, всі зберігали паролі в / etc / passwd. Цей файл був читаним у всьому світі та є, оскільки він містить інформацію, яка дозволяє відображати, наприклад, числові ідентифікатори користувачів та імена користувачів. Ця інформація є дуже корисною навіть звичайним користувачам для цілком законних цілей, тому можливість читати світ файлів мала велику користь для зручності використання.
Ще тоді люди зрозуміли, що наявність паролів у простому тексті у файлі у відомому місці, яке кожен, хто міг увійти, міг вільно читати, було поганою ідеєю. Тож паролі були зафіксовані в певному сенсі. Це старий механізм хешування паролів, який майже ніколи не використовується в сучасних системах, але часто підтримується у застарілих цілях.
Погляньте на / etc / passwd у вашій системі. Бачите те друге поле, яке говорить xскрізь? Він використовувався для зберігання хешованого пароля для відповідного облікового запису.
Проблема полягала в тому, що люди могли завантажувати / etc / passwd, а то й не завантажувати його та працювати над злом паролів. Це не було великою проблемою, поки комп'ютери не були особливо потужними (Кліффорд Столл, в «Яйце зозулі» , дає, наскільки я пам’ятаю, час для хешування одного пароля в системі класів IBM PC в середині 1980-х років, як приблизно другий ), але це стало проблемою із збільшенням потужності обробки. В якийсь момент, з гідним списком слів, зламати ці паролі стало занадто просто. З технічних причин ця схема також не могла підтримувати паролі довжиною більше восьми байтів.
Для вирішення цього було зроблено дві речі:
- Перехід до більш сильних хеш-функцій. Стара крипта () пережила термін її корисного використання, і були розроблені більш сучасні схеми, які були впевнені у майбутньому та обчислювались міцніше.
- Перемістіть хешовані паролі у файл, який ніхто не читав. Таким чином, навіть якщо функція хешування паролів виявилася слабшою, ніж очікувалося, або якщо хтось мав слабкий пароль для початку, зловмисник мав ще одну перешкоду отримати доступ до значень хешу. Це більше не було вільним для всіх.
Цей файл / etc / shadow.
Програмне забезпечення, яке працює з / etc / shadow, як правило, дуже мало, сильно зосереджене, і, як правило, отримує певну перевірку в оглядах через можливі проблеми. Він також працює із спеціальними дозволами, що дозволяє йому читати та змінювати / etc / shadow, не дозволяючи звичайним користувачам дивитися на цей файл.
Отже, у вас це є: дозволи на / etc / shadow є обмежуючими (хоча, як уже зазначалося, не настільки обмежуючими, як ви заявляєте), оскільки вся мета цього файлу - обмежити доступ до конфіденційних даних.
Мається на увазі, що хеш паролів є надійним, але якщо ваш пароль знаходиться в списку 500 найпопулярніших паролів у списках Інтернету , кожен, хто має доступ до хешу, все одно зможе швидко знайти його. Захист хешу запобігає цій простій атаці і піднімає планку для успішної атаки від простого підгляду до необхідності вимагати того, щоб він або був системним адміністратором на хості, або спершу пройшов атаку ескалації привілеїв. Особливо на правильно керований на багато користувачів, і з них є значно важчим , ніж просто дивлячись на загальнодоступному для читання файлу.
/etc/shadowце600?