/etc/shadow：Linux系统的密码保险箱

/etc/shadow：密码的守护者

在Linux早期，用户的密码信息直接存储在 /etc/passwd 文件中。然而，由于 /etc/passwd 文件对所有用户可读，这带来了严重的安全隐患。为了解决这个问题，Linux系统引入了 /etc/shadow 文件，将用户的密码信息从 /etc/passwd 中分离出来，并采用了更严格的访问控制。

/etc/shadow 文件的作用主要包括：

• 存储加密密码：/etc/shadow 文件存储了用户的加密密码，而不是明文密码。这样即使攻击者获取了 /etc/shadow 文件，也无法直接看到用户的密码。

• 限制访问权限：/etc/shadow 文件的权限设置为 600，即只有root用户拥有读写权限，其他用户没有任何权限。这大大提高了密码的安全性。

• 提供密码策略：/etc/shadow 文件中还包含了与密码相关的其他信息，如密码上次修改时间、密码过期时间、密码最短使用期限等。这些信息可以用于实现密码策略，强制用户定期更换密码，使用强密码，从而进一步提高系统安全性。

/etc/shadow 文件的结构

/etc/shadow 文件中的每一行代表一个用户，每行包含多个字段，字段之间用冒号（:）分隔。常见的字段包括：

• 用户名：与 /etc/passwd 文件中的用户名对应。

• 加密密码：存储用户的加密密码，通常使用哈希算法（如SHA-512）进行加密。

• 上次修改时间：记录密码上次修改的时间，以天为单位，从1970年1月1日开始计算。

• 最小修改时间间隔：两次修改密码之间所需的最小天数。

• 密码有效期：密码有效的天数，过期后需要修改密码。

• 密码过期警告天数：在密码过期前多少天开始提醒用户修改密码。

• 密码过期宽限天数：密码过期后，用户还可以继续使用密码的天数。

• 账号失效时间：账号被禁用的时间，以天为单位，从1970年1月1日开始计算。

• 保留字段：目前未使用，将来可能会用于扩展功能。

/etc/shadow 与系统安全

/etc/shadow 文件在Linux系统安全中扮演着重要的角色。通过存储加密密码和限制访问权限，它有效地保护了用户的密码信息，防止未经授权的访问。此外，/etc/shadow 文件中的密码策略信息可以帮助管理员实施更严格的密码管理，进一步提高系统安全性。

保护 /etc/shadow 文件

为了确保 /etc/shadow 文件的安全性，管理员应该采取以下措施：

• 定期备份：定期备份 /etc/shadow 文件，以便在文件损坏或丢失时进行恢复。

• 监控文件完整性：使用文件完整性监控工具（如Tripwire、AIDE）来检测 /etc/shadow 文件的任何未经授权的修改。

• 限制root用户访问：尽量减少root用户的登录和操作，以降低 /etc/shadow 文件被篡改的风险。

• 使用强密码策略：强制用户使用强密码，并定期更换密码。

结语

原文始发于微信公众号（技术修道场）：/etc/shadow：Linux系统的密码保险箱