Linux /etc/shadow 文件詳解

一、概述

/etc/shadow 是 Linux 系統下的一個隱藏文件，記錄系統用戶的身份認證信息。當用戶登錄系統時，操作系統會讀取此文件中的信息進行身份驗證，確認用戶身份後才會進入系統。

本文將從文件結構、文件權限、密碼格式、加密算法、防止暴力破解等多個方面對 /etc/shadow 文件進行詳細闡述。

二、文件結構

/etc/shadow 文件的每一行都代表了一個用戶的身份認證信息，具體結構如下：

username:password:lastchanged:minimum:maximum:warn:inactive:expire:

各字段的含義分別為：

• username: 用戶名，與 /etc/passwd 文件中的用戶名對應。
• password: 經過加密的密碼，用冒號隔開的一段字符串。
• lastchanged: 密碼最近一次修改時間，以自 1970 年 1 月 1 日 00:00:00 UTC 的秒數計算。
• minimum: 密碼有效期的最小值，即在未達到此時間前用戶不能修改密碼。
• maximum: 密碼有效期的最大值，即在超過此時間後用戶必須修改密碼。0 表示永不過期。
• warn: 在密碼到期之前多少天提醒用戶修改密碼。
• inactive: 用戶密碼失效前的不活動天數。如果設置為 -1，則表示不限制。
• expire: 以日期表示的用戶賬號的失效日期。如果設置為 empty 表示不限制。

三、文件權限

/etc/shadow 文件包含了重要的用戶身份認證信息，因此只能由 root 用戶進行修改。為了保證安全性，文件權限設置如下：

• -rw-r-----：文件所有者為 root 用戶，所屬組為 shadow，文件所有者具有讀寫權限，同組用戶只能讀取。

四、密碼格式

/etc/shadow 文件中的密碼字段是經過加密的，加密方式分為兩種：

• DES 加密：此方式已經不再安全，不建議使用。
• SHA-512 加密：目前較為常用的方式，採用了多次迭代以增加破解難度。

以 SHA-512 加密方式為例，其格式如下：

$6$SALT$ENCRYPTED_PASSWORD

其中，SALT 為自動生成的隨機字符串，用於增加加密難度；ENCRYPTED_PASSWORD 是實際的加密後的密碼字符串。

五、加密算法

/etc/shadow 文件中的密碼加密算法可以通過修改 /etc/login.defs 文件的 ENCRYPT_METHOD 變量來指定。可選的加密方式有 SHA512、SHA256、MD5、BLOWFISH、YPT 等。

六、防止暴力破解

為了防止暴力破解密碼，我們可以採取以下措施：

• 設置強密碼策略，要求密碼長度、複雜度、有效期等。
• 啟用密碼鎖定，當用戶連續多次登錄失敗後，鎖定該用戶的賬號。
• 啟用 PAM 模塊，對用戶身份驗證進行自定義控制。

七、參考鏈接

• Understanding /etc/shadow file
• Understanding /etc/shadow file in Linux
• shadow(5) – Linux man page