Изменение пароля

Сначала пользователя попросят ввести старый пароль, если он был. Этот пароль зашифровывается и сравнивается с имеющимся. У пользователя есть только одна попытка ввести правильный пароль. Для суперпользователя этот шаг пропускается, для того чтобы можно было изменить забытый пароль.

После ввода пароля проверяется информация об устаревании пароля, чтобы убедиться, что пользователю разрешено изменять пароль в настоящий момент. Если нет, то passwd не производит изменение пароля и завершает работу.

Затем пользователю предложат дважды ввести новый пароль. Значение второго ввода сравнивается с первым и для изменения пароли из обеих попыток должны совпасть.

Затем пароль тестируется на сложность подбора. Согласно общим принципам, пароли должны быть длиной от 6 до 8 символов и включать один или более символов каждого типа:

* строчные буквы

* цифры от 0 до 9

* знаки пунктуации

Не включайте системные символы стирания и удаления. Программа passwd не примет пароль, который не имеет достаточной сложности.  

Выбор пароля

The security of a password depends upon the strength of the encryption algorithm and the size of the key space. The legacy UNIX System encryption method is based on the NBS DES algorithm. More recent methods are now recommended (see ENCRYPT_METHOD). The size of the key space depends upon the randomness of the password which is selected.

Компромиссом в безопасности пароля является небрежный выбор пароля и сложность работы с ним. По этой причине, вы не должны использовать пароль, который является словом из словаря или который придётся записать из-за его сложности. Также, пароль не должен быть названием чего-либо, номером вашей лицензии, днём рождения и домашним адресом. Обо всём этом легко догадаться, что приведёт к нарушению безопасности системы.

You can find advices on how to choose a strong password on http://en.wikipedia.org/wiki/Password_strength  

ПАРАМЕТРЫ

Параметры команды passwd:

-a, --all

Этот параметр можно использовать только вместе с -S для вывода статуса всех пользователей.

-d, --delete

Удалить пароль пользователя (сделать его пустым). Это быстрый способ заблокировать пароль учётной записи. Это делает указанную учётную запись беспарольной.

-e, --expire

Немедленно сделать пароль устаревшим. В результате это заставит пользователя изменить пароль при следующем входе в систему.

-h, --help

Показать краткую справку и закончить работу.

-i, --inactiveДНЕЙ

Этот параметр используется для блокировки учётной записи по прошествии заданного числа дней после устаревания пароля. То есть, если пароль устарел и прошло более указанных ДНЕЙ, то пользователь больше не сможет использовать данную учётную запись.

-k, --keep-tokens

Указывает, что изменение пароля нужно выполнить только для устаревших ключей аутентификации (паролей). Пользователи хотят оставить свои непросроченные ключи нетронутыми.

-l, --lock

Lock the password of the named account. This option disables a password by changing it to a value which matches no possible encrypted value (it adds a ´!´ at the beginning of the password).

Note that this does not disable the account. The user may still be able to login using another authentication token (e.g. an SSH key). To disable the account, administrators should use usermod --expiredate 1 (this set the account's expire date to Jan 2, 1970).

Users with a locked password are not allowed to change their password.

-n, --mindays MIN_DAYS

Задать минимальное количество дней между сменой пароля. Нулевое значение этого поля указывает на то, что пользователь может менять свой пароль когда захочет.

-q, --quiet

Не выводить сообщений при работе.

-r, --repositoryРЕПОЗИТОРИЙ

Изменить пароль в РЕПОЗИТОРИИ.

-S, --status

Display account status information. The status information consists of 7 fields. The first field is the user's login name. The second field indicates if the user account has a locked password (L), has no password (NP), or has a usable password (P). The third field gives the date of the last password change. The next four fields are the minimum age, maximum age, warning period, and inactivity period for the password. These ages are expressed in days.

-u, --unlock

Unlock the password of the named account. This option re-enables a password by changing the password back to its previous value (to the value before using the -l option).

-w, --warndaysПРЕД_ДНЕЙ

Установить число дней выдачи предупреждения, перед тем как потребуется смена пароля. В параметре ПРЕД_ДНЕЙ указывается число дней перед тем как пароль устареет, в течении которых пользователю будут напоминать, что пароль скоро устареет.

-x, --maxdaysМАКС_ДНЕЙ

Установить максимальное количество дней, в течении которых пароль остаётся рабочим. После МАКС_ДНЕЙ пароль нужно изменить.

ПРЕДОСТЕРЕЖЕНИЯ

Password complexity checking may vary from site to site. The user is urged to select a password as complex as he or she feels comfortable with.

Users may not be able to change their password on a system if NIS is enabled and they are not logged into the NIS server.  

CONFIGURATION

The following configuration variables in /etc/login.defs change the behavior of this tool:

ENCRYPT_METHOD (string)

This defines the system default encryption algorithm for encrypting passwords (if no algorithm are specified on the command line).

It can take one of these values:

* DES (default)

* MD5

* SHA256

* SHA512

Note: this parameter overrides the MD5_CRYPT_ENAB variable.

MD5_CRYPT_ENAB (boolean)

Indicate if passwords must be encrypted using the MD5-based algorithm. If set to yes, new passwords will be encrypted using the MD5-based algorithm compatible with the one used by recent releases of FreeBSD. It supports passwords of unlimited length and longer salt strings. Set to no if you need to copy encrypted passwords to other systems which don't understand the new algorithm. Default is no.

This variable is superceded by the ENCRYPT_METHOD variable or by any command line option used to configure the encryption algorithm.

This variable is deprecated. You should use ENCRYPT_METHOD.

OBSCURE_CHECKS_ENAB (boolean)

Enable additional checks upon password changes.

PASS_ALWAYS_WARN (boolean)

Warn about weak passwords (but still allow them) if you are root.

PASS_CHANGE_TRIES (number)

Maximum number of attempts to change password if rejected (too easy).

PASS_MAX_LEN (number), PASS_MIN_LEN (number)

Number of significant characters in the password for crypt(). PASS_MAX_LEN is 8 by default. Don't change unless your crypt() is better. This is ignored if MD5_CRYPT_ENAB set to yes.

SHA_CRYPT_MIN_ROUNDS (number), SHA_CRYPT_MAX_ROUNDS (number)

When ENCRYPT_METHOD is set to SHA256 or SHA512, this defines the number of SHA rounds used by the encryption algorithm by default (when the number of rounds is not specified on the command line).

With a lot of rounds, it is more difficult to brute forcing the password. But note also that more CPU resources will be needed to authenticate users.

If not specified, the libc will choose the default number of rounds (5000).

The values must be inside the 1000-999999999 range.

If only one of the SHA_CRYPT_MIN_ROUNDS or SHA_CRYPT_MAX_ROUNDS values is set, then this value will be used.

If SHA_CRYPT_MIN_ROUNDS > SHA_CRYPT_MAX_ROUNDS, the highest value will be used.

ФАЙЛЫ

/etc/passwd

содержит информацию о пользователях

/etc/shadow

содержит защищаемую информацию о пользователях

/etc/login.defs

содержит конфигурацию подсистемы теневых паролей

ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ

Программа passwd завершая работу, возвращает следующие значения:

0

успешное выполнение

1

доступ запрещён

2

недопустимая комбинация параметров

3

неожиданная ошибка при работе, ничего не сделано

4

неожиданная ошибка при работе, отсутствует файл passwd

5

файл passwd занят другой программой, попробуйте ещё раз

6

недопустимое значение параметра

СМОТРИТЕ ТАКЖЕ

passwd(5), shadow(5), login.defs(5), usermod(8).

Index

НАЗВАНИЕ

СИНТАКСИС

ОПИСАНИЕ

Изменение пароля

Выбор пароля

ПАРАМЕТРЫ

ПРЕДОСТЕРЕЖЕНИЯ

CONFIGURATION

ФАЙЛЫ

ВОЗВРАЩАЕМЫЕ ЗНАЧЕНИЯ

СМОТРИТЕ ТАКЖЕ

2. passwd.5.man

Manpage of PASSWD

PASSWD

ИМЯ

ОПИСАНИЕ

В старые добрые времена, не существовало большой проблемы, связанной с доступностью этого файла на чтение для всех. Любой мог прочитать зашифрованные пароли, но мощности компьютеров не хватало для подбора грамотно выбранных паролей, а кроме того, наивно предполагалось, что сеть используется дружественным сообществом пользователей. В наши дни, многие пользователи стали использовать механизм теневых паролей, где файл /etc/passwd звёздочку (*), вместо зашифрованных паролей, а зашифрованные пароли хранятся в файле /etc/shadow, который доступен на чтение только суперпользователю.

Вне зависимости от того применяется ли механизм теневых паролей или нет, многие системные администраторы ставят звёздочку в поле зашифрованного пароля, чтобы быть уверенными, что данный пользователь не пройдёт аутентификацию, используя какой-либо пароль. (Но смотри раздел замечаний далее.)

Если вы создаёте новую учётную запись, сперва в поле пароля помещается звёздочка, а затем с помощью команды passwd(1) вы можете задать пароль.

В каждой строке файла содержится по одной учётной записи в формате:

account:password:UID:GID:GECOS:directory:shell

Описание полей:

account

Имя пользователя в системе. Оно не должно содержать букв в верхнем регистре.

password

Зашифрованный пароль пользователя, звёздочка (*), или буква aqxaq. (про aqxaq см. в pwconv(8).)

UID

Числовой идентификатор пользователя (UID).

GID

Числовой идентификатор первичной группы (GID) пользователя.

GECOS

Данное поле является необязательным и используется только для информационных целей. Обычно, оно содержит полное имя пользователя. GECOS это аббревиатура от General Electric Comprehensive Operating System, которая был переименована в GCOS, когда подразделение больших систем компании GE было продано компании Honeywell. Денис Ритчи писал: "Иногда мы направляем вывод печати или пачку заданий на GCOS машину. Поле gcos в файле паролей было местом, где хранилась информация для $IDENTcard. Не элегантно."

directory

Домашний каталог $HOME пользователя.

shell

Это программа, которая запускается после входа в систему (если это поле пустое, то используется /bin/sh). Если в поле указан несуществующий исполняемый файл, то пользователь не сможет войти в систему с помощью login(1).

ФАЙЛЫ

ЗАМЕЧАНИЯ

Если вместо зашифрованного пароля установлена звёздочка, то пользователь не сможет войти в систему, используя команду login(1), но сможет войти в систему, используя rlogin(1), запустить существующие процессы и инициировать новые, используя rsh(1), cron(8), at(1) или почтовые фильтры и т.д. Попытка заблокировать учётную запись простым изменением поля shell, даст тот же результат и в дополнении разрешит использование su(1).  

СМОТРИТЕ ТАКЖЕ

Index

ИМЯ

ОПИСАНИЕ

ФАЙЛЫ

ЗАМЕЧАНИЯ

СМОТРИТЕ ТАКЖЕ