如何取得，安裝，設定 shadow 密碼 <author>作者:　Michael H. Jackson, <tt><htmlurl url="mailto:mhjack@tscnet.com" name="mhjack@tscnet.com"></tt><newline> 譯者:　Sung Min-Ju, <tt><htmlurl url="mailto:songmj@ms1.hinet.net" name="songmj@ms1.hinet.net"></tt> <date>v1.3, 3 April 1996 翻譯日期:　15 MAY 2000 <abstract> 這份文件主要描述如何取得，安裝和設定 Shadow Suite 密碼。它也描述取得和安裝需要存取使用者密碼之其他軟體和網路監控程式(network daemons)。這些其他軟體不是 Shadow Suit 的真實部分，但是這些程式將需要被重新編譯用以支援 Shadow Suite 。這份文件亦包括一個程式範例：對程式加入 shadow 支援。本文結尾部分為常問問題及答案。 </abstract>  <toc>  <sect><heading>簡介 這篇文章為 Linux Shadow-Password-HOWTO。主要是在描述為何及如何於 Linux 系統加入 shadow 密碼支援。其亦包括如何使用 Shadow Suite's 某些範例。 當進行 Shadow Suite 安裝及使用許多的 utility 程式時‧你必須以 root 權限簽入。且進行 Shadow Suite 安裝時，系統軟體將被改變，因此強烈的建議您照說明檔備分程式。在此強調在您開始作業前需先閱讀及了解所有的說明書。 <sect1><heading>更改上一版本部分 <verb>新增：新增一個子節：為何您不要安裝 shadow 新增一個子節：修改 xdm 程式新增一節：為何您不要安裝 shadow 新增一節：如何於未來運作 Shadow Suite 新增一節：常問問題及答案更正/修改：更正在 Sunsite 的 html 參考資料更正在 wu-ftp 節在 Makefile 新增 -lshadow 更正較不嚴重拼音和措詞錯誤更改 wu-ftp 節用以支援 ELF 修改在不同簽入(login)程式安全問題修改 Linux Shadow Suite 建議為 Marek Michalkiewicz </verb> <sect1><heading>新版文件 您可利用匿名檔進入該 FTP 站下載最新版文件： <bf>sunsite.unc.edu</bf> <verb>/pub/Linux/docs/HOWTO/Shadow-Password-HOWTO</verb> or: <verb>/pub/Linux/docs/HOWTO/other-formats/Shadow-Password-HOWTO{-html.tar,ps,dvi}.gz</verb> 或透過網站： <url url="http://sunsite.unc.edu/mdw/linux.html" name="Linux Documentation Project Web Server">，網頁： <url url="http://sunsite.unc.edu/linux/HOWTO/Shadow-Password-HOWTO.html" name="Shadow-Password-HOWTO"> 或與我聯絡： <tt><mhjack@tscnet.com></tt>. 亦可透過新聞群組張貼： <tt>comp.os.linux.answers</tt> 這些文件現在已經包於 Shadow-YYDDMM 套件中。 <sect1><heading>回覆 請將任何評語、修改或建議寄至： <htmlurl url="mailto:mhjack@tscnet.com" name="Michael H. Jackson <mhjack@tscnet.com>"> 我會盡快回覆並更正該文件。如果你發現任何問題，請直接 email 給我，我會將此最新技術張貼於新聞群組。 <sect><heading>為何 shadow 你的 passwd 檔? 大部分目前 Linux 發行版本預設值並未包含Shadow Suite 安裝。這些版本包括 Slackware 2.3, Slackware 3.0 和其他受歡迎的發行版本。主要原因之一是在原始Shadow Suite版權聲明中並未很清楚的描述該軟體是否需使用者付費。 Linux 使用 GNU 版權通常允續使用者可免費且任意使用相關套件。 Shadow Suite現在維護人員<htmlurl url="mailto:marekm@i17linuxb.ists.pwr.wroc.pl" name="Marek Michalkiewicz <marekm@i17linuxb.ists.pwr.wroc.pl>"> 已經可以從在 BSD 樣式允需再使用版權之原始作者那接收原始碼。目前版權發行已解決，因此可以預期在未來版本之預設值將包括 password shadowing。即使如此，你仍需要自行安裝。 如果你的版本是從 CD-ROM 安裝。你可能發現即使目前版本並未有Shadow Suite 安裝，但你仍然可以在該片 CD-ROM 找到你需要安裝的Shadow Suite。 然而，所有Shadow Suite 3.3.1, 3.3.1-2 版本和 shadow-mk 伴隨簽入(login)程式和其他suid root程式均有安全上問題，因此不應該使用太久。 所有必要檔案均可以透過匿名 FTP 站或網站找到。 在沒有安裝Shadow Suite的 Linux 系統，包括密碼的帳號使用者資訊通常儲存在 <tt>/etc/passwd</tt> 檔。儲存的密碼為 加密(encrypted)格式。然而，如果你問一個密碼專家，他/她將告訴你真正的密碼檔只是編碼(encoded)而不是加密格式，因為當使用 crypt(3) 時，文字檔倍設為 null 且密碼是鍵值(key)。因此，接下來我將在這篇文件中使用 編碼。 使用在密碼欄位編碼的演算法於技術上是使用one way hash function。這是一個在單一方向計算簡單但逆向計算非常困難的演算法。關於這正確的演算法可以在 2.4 節或於 crypt(3) 操作手冊找到。 當使用者挑選或指定一個密碼，系統將隨機產生一個值，叫做salt，將密碼進行編碼。這表示任何特定的密碼可以 4096 中不同方法儲存。 salt 值將儲存被編碼的密碼。 當使用者簽入或提供一個密碼， salt 首先接收欲儲存編碼密碼。然後這提供密碼會和 salt 值一起編碼，且比較已經編碼密碼。如果有 match ，該使用者通過權限檢查。 隨機編碼和復原原始密碼是有計算複雜度的(但不是不可能的)。然而，在某些系統很多使用者的密碼都設為一般文字(或是一般文字的簡單變化) 系統駭客知道這件事，且將簡單的加密文字和一般使用4096 salt 值密碼之目錄。然後他們將比較在資料庫之 <tt>/etc/passwd</tt> 檔之編碼密碼，只要他們找到一個比對，他們可以找到一個帳號之密碼。這和dictionary attack有關，且用於未經許可存取系統取得和展開常用的方法之一。 如果你想過一個 8 碼的密碼編碼成 4096 * 13 碼的字串，那麼一個用在描述 400,000 一般文字、名字、密碼和簡單變化的字典將需要 4GB 硬碟存取空間。駭客需要做的只是分類字串跟檢查比對結果。自從 4GB 硬碟可以以美金 1000.00 以下買到後，對大多數系統駭客的意義可想而知。 如果駭客首先發現你的 <tt>/etc/passwd</tt> 檔，他們只需要將真正包含在 <tt>/etc/passwd</tt> 檔 <tt>salt</tt> 值的字典編碼，這方法可由擁有486級電腦或幾個有幾百 MB 硬碟空間的十來歲的小孩適用。 即使沒有很大的磁碟空間，像 crack(1) 的工具程式通常可以在足夠使用者系統中至少破解一對密碼（假設系統使用者倍允許挑選他們想要的密碼）。 <tt>/etc/passwd</tt> 檔也包括一些相關資訊，像使用者 ID　和群組 ID所使用的系統程式；因此 <tt>/etc/passwd</tt> 檔 必須 保持全世界可讀性. 如果你改變 <tt>/etc/passwd</tt> 檔以致於沒有人可以讀取，你將發現的第一件事是 <tt>ls -l</tt> 命令將取代名稱而顯示使用者 ID 。 Shadow Suite 透過將密碼存至另一個檔（通常是 <tt>/etc/shadow</tt> 檔）來解決該問題。 <tt>/etc/shadow</tt> 檔對任何人設定可讀檔，只有 root 權限可以讀寫 <tt>/etc/shadow</tt> 檔。某些程式（像 xlock）不需要改變密碼，只需要確認密碼即可。這些程式可以以 suid root 執行或者你可以設定一個群組 shadow 用來唯讀 <tt>/etc/shadow</tt> 檔，然後這些程式可以執行 sgid　shadow。 透過移動密碼至 <tt>/etc/shadow</tt> 檔，我們可以有力的備有駭客從存取編碼密碼到執行 dictionary attack 的證據。 除此之外， Shadow Suite 新增許多特色： <itemize> <item>設定檔於設定為簽入時預設(<tt>/etc/login.defs</tt>) <item>新增、修改和刪除使用者帳號群組之工具程式 <item>密碼壽命計算及到期日 <item>帳號到期日跟鎖死 <item>隱藏群組密碼 (可選擇的) <item>兩倍長度密碼 (16 字元密碼) [不建議使用] <item>針對使用者密碼選擇有較好的控制 <item>可撥接密碼 <item>備用有效權限程式 [不建議使用] </itemize> 安裝 Shadow Suite 貢獻為有更安全系統，但是還有其他方法可以改善 Linux 系統的安全，且最終將有一系列的 Linux 安全 HOWTO's 將討論其他安全基準和相關文件版本‧ 針對目前其他 Linux 安全文件資訊，請參照網址：<url url="http://bach.cis.temple.edu/linux/linux-security/" name="Linux Security home page."> <sect1><heading>為何您不要 shadow 你的 passwd 檔 有一些狀況跟設定運用在安裝 Shadow Suite 將 不是 好主意：　 There are a few circumstances and configurations in which installing the Shadow Suite would NOT be a good idea: <itemize> <item>主機沒有包含使用者帳號。 <item>主機是在 LAN 上跑且使用網路資訊服務(Network Information Services, NIS)得到或供應使用者名稱和密給網路上的其他機器使用(事實上這還是可以執行，但是實際上並不能增加任何安全)。 <item>機器是使用終端主機來驗證使用者經由 NFS(Network File System), NIS 或某些其他方法。 <item>機器跑其他軟體驗證使用者且沒有任何 shadow 版本或原始碼可獲得。 </itemize> <sect1><heading>格式化 /etc/passwd 檔 一個 non-shadowed <tt>/etc/passwd</tt> 檔格式如下所示： <tscreen><verb>username:passwd:UID:GID:full_name:directory:shell</verb></tscreen> 其中 <descrip> <tag/<tt>username</tt></tag> 使用者(簽入)名稱 <tag/<tt>passwd</tt></tag> 編碼密碼 <tag/<tt>UID</tt></tag> 使用者編號 <tag/<tt>GID</tt></tag> 預設存組編號 <tag/<tt>full_name</tt></tag> 使用者全名 - 事實上這個欄位稱作 GECOS (General Electric Comprehensive Operating System) 欄位且可以儲存全名外的資訊。Shadow commands and manual pages refer to this field as the comment field. <tag/<tt>directory</tt></tag> 使用者根目錄 (絕對路徑) <tag/<tt>shell</tt></tag> 使用者簽入的環境 (絕對路徑) </descrip> 舉例說明： <tscreen><verb>username:Npge08pfz4wuk:503:100:Full Name:/home/username:/bin/sh</verb> </tscreen>　中，<tt>Np</tt> 是 salt 且 <tt>ge08pfz4wuk</tt> 是編碼密碼。已編碼的 salt/password 就像 <tt>kbeMVnZM0oL7I</tt> 且這兩個字串是一樣的密碼。對相同密碼可能有 4096 種可能的編碼。(本範例的密碼是 "passwaor"，這是比較 不好 的密碼)。 只要 shadow suite 已經安裝， <tt>/etc/passwd</tt> 檔將被替代成： <tscreen><verb>username:x:503:100:Full Name:/home/username:/bin/sh</verb></tscreen> 本範例之第二欄位 <tt>x</tt> 現在只是一個　place holder。　<tt>/etc/passwd</tt>檔的格式並未真的改變，只是不再包含 編碼密碼。這表示任何程式可以讀取 <tt>/etc/passwd</tt> 檔，但並不真的需要確認密碼是不是正確地運作。 這些密碼現在被重新放在 shadow 檔(通常是在 <tt>/etc/shadow</tt> 檔)。 <sect1><heading>格式化 shadow 檔 <tt>/etc/shadow</tt> 檔包括下列資訊： <tscreen><verb>username:passwd:last:may:must:warn:expire:disable:reserved</verb></tscreen> 其中 <descrip> <tag/<tt>username</tt></tag> 使用者名稱 <tag/<tt>passwd</tt></tag> 編碼密碼 <tag/<tt>last</tt></tag> 密碼上次更動日期，以從1970年1月1日算起的天數代表 <tag/<tt>may</tt></tag> 密碼改變前天數 <tag/<tt>must</tt></tag> 密碼最常使用天數 <tag/<tt>warn</tt></tag> 代表期限前幾天就事先警告使用者 <tag/<tt>expire</tt></tag> 超過密碼過期天數後，就關閉該帳號 <tag/<tt>disable</tt></tag> 帳號關閉，以從1970年1月1日算起的天數代表 <tag/<tt>reserved</tt></tag> 預備欄位 </descrip> 依照之前範例將變成： <tscreen><verb>username:Npge08pfz4wuk:9479:0:10000::::</verb></tscreen> <sect1><heading>回顧 crypt(3). 從 crypt(3) 使用者文件得到： &dquot;crypt 是密碼加密方程式。 It is based on the Data Encryption Standard algorithm with variations intended (among other things) to discourage use of hardware implementations of a key search. [The] key 是使用者輸入的密碼。 [編碼字串全是 NULLs] [The] salt 是從 [a-zA-Z0-9./] 集合中選出的兩個位元字串。該字串是用於擾亂在 4096 種不同方法之一個演算法。 透過得到 key 的每個位元的最低 7 bit[s]，可以建立 56-bit key 。這56-bit key 是用在重複加密一個常數字串(通常是包含所有靈的字串)。傳回值指到加密密碼是一連串可印出之13個 ASCII 字元(最前面的一兩個字元表示 salt 本身)。透過每次的呼叫可將傳回直指到靜態資料。 <bf>警告訊息：</bf> Key space 包括 2**56 即等於 7.2e16 可能的值。與用重大的平行電腦將 Key space 極盡的搜尋<bf>是可能</bf>。像 <tt>crack(1)</tt> 軟體用來搜尋部分的由人產生之密碼的 key space 是可獲得的。因此，密碼的選擇至少應該避免使用一般字及名字。一個用來檢查解開密碼選擇的 <tt>passwd(1)</tt> 程式使用是值得推薦的。 DES 演算法本身有一些使 <tt>crypt(3)</tt> 在任何其他密碼權限區隔介面很差選擇的使用方面劇變。如果你計畫使用 <tt>crypt(3)</tt> 介面來加密計畫，以下描述千萬別這麼作：得要一本加密好書和廣泛獲得 DES 程式庫 .&dquot 一起使用。 大多 Shadow Suites 包括 16 位元的密碼長度兩倍之原始碼。在 <tt>des</tt> 專家建議避免使用當開始對較常密碼先簡單的編碼左半然後右半。由於 <tt>crypt</tt> 運作方法，這將造成 較差的 安全編碼密碼。除此之外，使用者有可能記住 16 位元密碼是一件比較差的事情。 目前有允許權限理論用以取代某些更安全和支援較長密碼(例如 MD5 演算法)且保有和 <tt>crypt</tt> 方法相容的發展工作正在進行。 如果你正在尋找一本加密的好書，建議如下： <verb> "Applied Cryptography: Protocols, Algorithms, and Source Code in C" by Bruce Schneier <schneier@chinet.com> ISBN: 0-471-59756-2 </verb> <sect><heading>取得 Shadow Suite. <sect1><heading>Shadow Suite for Linux 的歷史(暫不翻譯) <sect1><heading>History of the Shadow Suite for Linux DO NOT USE THE PACKAGES IN THIS SECTION, THEY HAVE SECURITY PROBLEMS The original Shadow Suite was written by <tt>John F. Haugh II</tt>. There are several versions that have been used on Linux systems: <itemize> <item><tt>shadow-3.3.1</tt> is the original. <item><tt>shadow-3.3.1-2</tt> is Linux specific patch made by <htmlurl url="mailto:flla@stud.uni-sb.de" name="Florian La Roche <flla@stud.uni-sb.de>"> and contains some further enhancements. <item><tt>shadow-mk</tt> was specifically packaged for Linux. </itemize> The <tt>shadow-mk</tt> package contains the <tt>shadow-3.3.1</tt> package distributed by <tt>John F. Haugh II</tt> with the <tt>shadow-3.3.1-2 patch</tt> installed, a few fixes made by <htmlurl url="mailto:magnus@texas.net" name="Mohan Kokal <magnus@texas.net>"> that make installation a lot easier, a patch by <tt>Joseph R.M. Zbiciak</tt> for <tt>login1.c</tt> (login.secure) that eliminates the -f, -h security holes in /bin/login, and some other miscellaneous patches. The <tt>shadow.mk</tt> package was the previously recommended package, but should be replaced due to a security problem with the <tt>login</tt> program. There are security problems with Shadow versions 3.3.1, 3.3.1-2, and shadow-mk involving the <tt>login</tt> program. This <tt>login</tt> bug involves not checking the length of a login name. This causes the buffer to overflow causing crashes or worse. It has been rumored that this buffer overflow can allow someone with an account on the system to use this bug and the shared libraries to gain root access. I won't discuss exactly how this is possible because there are a lot of Linux systems that are affected, but systems with these Shadow Suites installed, and most pre-ELF distributions without the Shadow Suite are vulnerable! For more information on this and other Linux security issues, see the <url url="http://bach.cis.temple.edu/linux/linux-security/Linux-Security-FAQ/Linux-telnetd.html" name="Linux Security home page (Shared Libraries and login Program Vulnerability)"> <sect1><heading>如何取得 Shadow Suite？ 目前建議 Shadow Suite 版本目前還是 BETA 測試版，然後，最近版本在生產環境是安全的且沒有包含易受攻擊的 <tt>簽入(login)</tt> 程式。 該套件(package)使用慣例命名為： <tscreen><verb>shadow-YYMMDD.tar.gz</verb></tscreen> 其中 <tt>YYMMDD</tt> 是Suite 的發行日期。 目前 BETA 測試版本是 Version 3.3.3 ，且由<htmlurl url="mailto:marekm@i17linuxb.ists.pwr.wroc.pl" name="Marek Michalkiewicz <marekm@i17linuxb.ists.pwr.wroc.pl>"> 維護。還可以從該處得到： <url url="ftp://i17linuxb.ists.pwr.wroc.pl/pub/linux/shadow/shadow-current.tar.gz" name="shadow-current.tar.gz">. 下列網站也可以找到相關資訊： <itemize> <item><htmlurl url="ftp://ftp.icm.edu.pl/pub/Linux/shadow/shadow-current.tar.gz" name="ftp://ftp.icm.edu.pl/pub/Linux/shadow/shadow-current.tar.gz"> <item><htmlurl url="ftp://iguana.hut.fi/pub/linux/shadow/shadow-current.tar.gz" name="ftp://iguana.hut.fi/pub/linux/shadow/shadow-current.tar.gz"> <item><htmlurl url="ftp://ftp.cin.net/usr/ggallag/shadow/shadow-current.tar.gz" name="ftp://ftp.cin.net/usr/ggallag/shadow/shadow-current.tar.gz"> <item><htmlurl url="ftp://ftp.netural.com/pub/linux/shadow/shadow-current.tar.gz" name="ftp://ftp.netural.com/pub/linux/shadow/shadow-current.tar.gz"> </itemize> 你應該可以獲得目前最新的版本。 你應該不要是用比 <tt>shadow-960129</tt> 更舊版本，因為它們有 <tt>簽入</tt> 的安全問題。 於參考資料方面，我用 <tt>shadow-960129</tt> 檔進行安裝介紹。 如果你之前使用 <tt>shadow-mk</tt> ，你應該更信這個版本且重建編譯。 <sect1><heading>Shadow Suite包含什麼？ Shadow Suite 包括對下列功能之替代程式： <tt>su, login, passwd, newgrp, chfn, chsh, and id</tt> 該套件還包括新程式： <tt>chage, newusers, dpasswd, gpasswd, useradd, userdel, usermod, groupadd, groupdel, groupmod, groups, pwck, grpck, lastlog, pwconv, and pwunconv</tt> 除此之外，函式庫： <tt>libshadow.a</tt> 也包括需要存取使用者密碼之寫和編譯程式。 程式之操作手冊也包含在其中。 也有對簽入程式的 configuration file ，它將被安裝在 <tt>/etc/login.defs</tt> 檔。 <sect><heading>編譯程式 <sect1><heading>解壓縮 在接收套件後第一個步驟就是 unpacking。該套件是 tar 檔案格式使用 gzip 壓縮，所以首先將該檔案移到 <tt>/usr/src</tt> ，然後輸入： <tscreen><verb>tar -xzvf shadow-current.tar.gz</verb></tscreen> 這將會 unpack 到一個目錄：<tt>/usr/src/shadow-YYMMDD</tt> <sect1><heading>設定 config.h 檔 第一件事是你需要複製 <tt>Makefile</tt> 和 <tt>config.h</tt> 檔： <tscreen><verb>cd /usr/src/shadow-YYMMDD cp Makefile.linux Makefile cp config.h.linux config.h</verb></tscreen> 然後你應該留意 <tt>config.h</tt> 檔。該檔案包括某些設定選項的定義。如果你使用 建議 套件，我建議你在第一次設定關掉 group shadow support。 shadowed group passwords 預設值是開啟的。在 <tt>config.h</tt> 檔關到這個設定，且改變 <tt>#define SHADOWGRP</tt> 變成 <tt>#undef SHADOWGRP</tt>。我建議您一開始關掉它們，然後如果你真的需要 group passwords 和 group administrators 時你在開啟它們和重新編譯。如果你開啟它，你 必須 建立 <tt>/etc/gshadow</tt> 檔。 開啟長密碼的選項也不建議使用。 不要 改變 <tt>#undef AUTOSHADOW</tt> 的設定。 <tt>AUTOSHADOW</tt> 選項初始設計是用以讓 shadow 可以像 function 一樣執行。理論上聽起來不錯，但是沒辦法正確的運作。如果你開啟這個選項，且這個程式以 root 權限在執行，它會像 root 權限執行一項呼叫 <tt>getpwnam()</tt> ，然後變更 <tt>/etc/passwd</tt> 檔 (有no-longer-shadowed 密碼)。這類程式包括 chfn 和 chsh。(如果 root 在呼叫 <tt>getpwnam()</tt> 之前使用 chfn 和 chsh，使用者帳號將沒有辦法真實且有效交易。) 如果你要建立 libc，同樣的警告也有效，它有個 <tt>SHADOW_COMPAT</tt> 作相同的事。它 不應該被使用！如果你開始從你的 <tt>/etc/passwd</tt> 檔擷取編碼密碼，這會是個問題。 如果你正使用比 4.6.27 還高的 <tt>libc</tt> 版本，你將需要在 <tt>config.h</tt> 和 <tt>Makefile</tt>兩個檔做很多改變。在 <tt>config.h</tt> 檔的編輯和改變：從： <tscreen><verb>#define HAVE_BASENAME</verb></tscreen> 到： <tscreen><verb>#undef HAVE_BASENAME</verb></tscreen> 然後在 <tt>Makefile</tt> 檔的改變： <tscreen><verb>SOBJS = smain.o env.o entry.o susetup.o shell.o \ sub.o mail.o motd.o sulog.o age.o tz.o hushed.o SSRCS = smain.c env.c entry.c setup.c shell.c \ pwent.c sub.c mail.c motd.c sulog.c shadow.c age.c pwpack.c rad64.c \ tz.c hushed.c </verb></tscreen> <tscreen><verb>SOBJS = smain.o env.o entry.o susetup.o shell.o \ sub.o mail.o motd.o sulog.o age.o tz.o hushed.o basename.o SSRCS = smain.c env.c entry.c setup.c shell.c \ pwent.c sub.c mail.c motd.c sulog.c shadow.c age.c pwpack.c rad64.c \ tz.c hushed.c basename.c </verb></tscreen> 這些包含在 <tt>basename.c</tt> 程式碼的改變均需倍包括在 <tt>libc 4.6.27</tt> 內。 <sect1><heading>備份原始程式 在 shadow suite 要更新時，製作程式備份將是一個很好的點子。在 Slackware 3.0 系統中，這些檔案是： <itemize> <item>/bin/su <item>/bin/login <item>/usr/bin/passwd <item>/usr/bin/newgrp <item>/usr/bin/chfn <item>/usr/bin/chsh <item>/usr/bin/id </itemize> 這 BETA 套件已經有個 儲存 在 Makefile 的目的檔，但是因為不同的版本通常將程式放在不同的地方，因此常被人評論。 你應該備份你的 <tt>/etc/passwd</tt> 檔，但是你要很小心地命名，不然如我你將它放在相同目錄，你將無法重寫 <tt>passwd</tt> 命令。 <sect1><heading>執行 make 你需要以 root 權限簽入以執行安裝程序. 執行 make 來編譯套件中的執行檔： <tscreen><verb>make all</verb></tscreen> 你可能會看到警告語： <tt>rcsid defined but not used</tt>. 這沒關係，因為作者使用版本控制套件才會發生。 <sect><heading>安裝 <sect1><heading>手邊準備一個開機片 如果真的發生嚴重錯誤，有個開機磁片之有用的。如果你要 boot/root 合併的安裝，你可以參考<url url="http://sunsite.unc.edu/mdw/HOWTO/Bootdisk-HOWTO.html" name="Bootdisk-HOWTO"> 以製作 root 開機之開機片。 <sect1><heading>移除複製的 man pages 你也應該將操作手冊更新，即使你很厲害到足以不用備份安裝 Shadow Suite，你仍然要將將舊的操作手冊移除，因為新版的操作手冊無法正常的覆蓋舊版本。 你可以使用一個組合： <tt>man -aW 命令</tt> 和 <tt>locate 命令</tt> 尋找需備移除的操作手冊。在你執行 <tt>make install</tt> 前找出較舊版本比較容易。 如果你使用 Slackware 3.0 版本，然後你要移除的操作手冊是： <itemize> <item>/usr/man/man1/chfn.1.gz <item>/usr/man/man1/chsh.1.gz <item>/usr/man/man1/id.1.gz <item>/usr/man/man1/login.1.gz <item>/usr/man/man1/passwd.1.gz <item>/usr/man/man1/su.1.gz <item>/usr/man/man5/passwd.5.gz </itemize> 在 <tt>/var/man/cat[1-9]</tt> 次目錄也有相同的名字需要被刪除。 <sect1><heading>執行 make install 現在你已經準備要輸入： (以 root 權限執行) <tscreen<verb>make install</verb></tscreen> 這將安裝最新和更新程式且修復檔案許可權。它也會安裝操作手冊。 這也將在安裝時考慮將 Shadow Suite 包含檔案放在正確的位置 <tt>/usr/include/shadow</tt> 。 使用 BETA 套件，你需要手動複製 <tt>login.defs</tt> 這個檔到 <tt>/etc</tt> 這個目錄下，而且要確認只有 root 權限可以改變它。 <tscreen><verb>cp login.defs /etc chmod 700 /etc/login.defs</verb></tscreen> 這個檔案是 簽入 程式的 configuration file。你應該檢查跟確定這個檔的改變狀況。這是你決定哪個 tty 的 root 可以從哪裡簽入和設定其他安全方針的地方(像預設密碼的到期日)。 <sect1><heading>執行 pwconv 接下來的步驟是執行 <tt>pwconv</tt>。這也需以 root執行且最好在 <tt>/etc</tt> 目錄下執行： <tscreen><verb>cd /etc /usr/sbin/pwconv</verb></tscreen> <tt>pwconv</tt> 擷取你的 <tt>/etc/passwd</tt> 檔且刪除某些欄位為了建立兩個檔案： <tt>/etc/npasswd</tt> 和 <tt>/etc/nshadow</tt>. 一個 <tt>pwunconv</tt> 也提供你建立一個 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 組合的正常 <tt>/etc/passwd</tt> 檔案。 <sect1><heading>重新命名 npasswd 和 nshadow 現在你已經執行 <tt>pwconv</tt> ，而且你已經建立 <tt>/etc/npasswd</tt> 和 <tt>/etc/nshadow</tt> 檔案。這需要複製到 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 檔。我們也需要複製原始 <tt>/etc/passwd</tt> 檔，而且確定只有 root 可以讀它。我們將該檔案放在 root 得根目錄： <tscreen><verb>cd /etc cp passwd ~passwd chmod 600 ~passwd mv npasswd passwd mv nshadow shadow</verb></tscreen> 你也應該確定檔案的擁有者跟存取權限是正確的。如果你將要使用 X-Windows ， <tt>xlock</tt> 和 <tt>xdm</tt> 可能需要讀取 <tt>shadow</tt> 檔(但需不要寫入該檔)。 有兩個方法可以做。你可以設定 <tt>xlock</tt> 的 suid 是 root (<tt>xdm</tt> 通常以 root 權限執行)。或者你可以使 root 成為 <tt>shadow</tt> 的群組可以擁有 <tt>shadow</tt> 檔，但是在作這之前，要確定你已經有個 shadow group (可以在 <tt>/etc/group</tt> 檔看到)。不應改有任何使用者真的在 shadow group 。 <tscreen><verb>chown root.root passwd chown root.shadow shadow chmod 0644 passwd chmod 0640 shadow</verb></tscreen> 你的系統現在有 shadow 的密碼檔囉。你現在 應該 重開一個終端機視窗和確認你可以簽入(login)。 請馬上確實的作這件事！ 如過你不能，可能某些事情有錯誤囉！為了要回到 to a non-shadowed 狀態，請作下列步驟： <tscreen><verb>cd /etc cp ~passwd passwd chmod 644 passwd</verb></tscreen> 你將重新儲存這些檔案到先前你儲存它們的正確位置。 <sect><heading>其他你需要升級(upgrade)或補強(patch)程式 即使 shadow suite 對大部分需要存取密碼檔的程式可以包含更新程式，但是仍有一些需要存取密碼檔的額外程式在系統中。 如果你正執行 Debian 版本 (或者即使你不是)，你可以找到 Debian 需要 rebuild 的原始碼： ftp://ftp.debian.org/debian/stable/source/ 這節剩餘的部分在討論更新 <tt>adduser</tt>, <tt>wu_ftpd</tt>, <tt>ftpd</tt>, <tt>pop3d</tt>, <tt>xlock</tt>,<tt>xdm</tt> 和 <tt>sudo</tt> 程式以便於讓這些程式支援 shadow suite。 請看 <ref id="sec-adding" name="Adding Shadow Support to a C program"> 這節，主要是在討論如何將 shadow 支援放到其他需要程式(雖然這些程式需要以 SUID root 執行或 SGID shadow 需正確存取 shadow 檔)。 <sect1><heading>Slackware adduser 程式 Slackware 版本包含一個新增使用者的交互程式叫做 <tt>/sbin/adduser</tt>。該程式的 shadow 版本可以在 <htmlurl url="ftp://sunsite.unc.edu/pub/Linux/system/ Admin/accounts/adduser.shadow-1.4.tgz" name="ftp://sunsite.unc.edu/pub/Linux/system/ Admin/accounts/adduser.shadow-1.4.tar.gz">找到。 我很鼓勵你使用 Shadow Suite 供應的程式(例如<tt>useradd</tt>, <tt>usermod</tt>, 和 <tt>userdel</tt>) 來取代 slackware 的<tt>adduser</tt> 程式。它們只需花一點時間學習，但是它將值得的，因為你可以看到更多控制和在正確展現鎖住 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 的檔案(<tt>adduser</tt> 就沒有辦法囉)。 參考<ref id="sec-work" name="Putting the Shadow Suite to use"> 該節得到更多相關資訊。 但是如果你已經擁有囉，接下來是你要做的部分： <tscreen><verb>tar -xzvf adduser.shadow-1.4.tar.gz cd adduser make clean make adduser chmod 700 adduser cp adduser /sbin</verb></tscreen> <sect1><heading>wu_ftpd Server 大部分的 Linux 系統都有 <tt>wu_ftpd</tt> server。如果你的版本沒有附帶 shadow 安裝，那麼你的 <tt>wu_ftpd</tt> 就沒有辦法對 shadow 編譯。 <tt>wu_ftpd</tt> 是從 <tt>inetd/tcpd</tt> 開始且以 root 權限執行的程式。如果你正在跑一個舊版的 <tt>wu_ftpd</tt> daemon，無論如何你將要更新它因為較舊版本有 bug 將危及 root 權限。(參考 <url url="http://bach.cis.temple.edu/linux/linux-security/Linux-Security-FAQ/Linux-wu.ftpd-2.4-Update.html" name="Linux security home page"> 得到更多相關資訊)。 幸運的是你只需要取的有嵌入 shaow 的原始碼和重新編譯就可以囉！ 如果你不是正在執行 ELF 系統， <tt>wu_ftp</tt> server 可以從 Sunsite 網址 <url url="ftp://sunsite.unc.edu/pub/Linux/system/Network/file-transfer/wu-ftpd-2.4-fixed.tar.gz" name="wu-ftp-2.4-fixed.tar.gz"> 找到。 當你獲得這個 server，把它放在 <tt>/usr/src</tt>目錄，然後輸入： <tscreen><verb>cd /usr/src tar -xzvf wu-ftpd-2.4-fixed.tar.gz cd wu-ftpd-2.4-fixed cp ./src/config/config.lnx.shadow ./src/config/config.lnx</verb></tscreen> 然後編輯 <tt>./src/makefiles/Makefile.lnx</tt>，和改變 <tscreen><verb>LIBES = -lbsd -support</verb></tscreen> 這一行到： <tscreen><verb>LIBES = -lbsd -support -lshadow</verb></tscreen> 現在你已經準備好執行 script 建立跟安裝： <tscreen><verb>cd /usr/src/wu-ftpd-2.4-fixed /usr/src/wu-ftp-2.4.fixed/build lnx cp /usr/sbin/wu.ftpd /usr/sbin/wu.ftpd.old cp ./bin/ftpd /usr/sbin/wu.ftpd</verb></tscreen> 這是用在 Linux shadow configuration file、編譯和安裝 server。 在我的 Slackware 2.3 系統，我也需要在執行前作下列步驟： <tt>build</tt>: <tscreen><verb>cd /usr/include/netinet ln -s in_systm.h in_system.h cd -</verb></tscreen> 在 ELF 系統下會有編譯問題的報告，但是下一版的 Beta 版則可以正確的執行。可以從 <url url="ftp://tscnet.com/pub/linux/network/ftp/wu-ftpd-2.4.2-beta-10.tar.gz" name="wu-ftp-2.4.2-beta-10.tar.gz"> 找到。 當你獲得這個 server，把它放在 <tt>/usr/src</tt>目錄，然後輸入： <tscreen><verb>cd /usr/src tar -xzvf wu-ftpd-2.4.2-beta-9.tar.gz cd wu-ftpd-beta-9 cd ./src/config</verb></tscreen> 然後編輯 <tt>config.lnx</tt>，和改變： <tscreen><verb>#undef SHADOW.PASSWORD</verb></tscreen> 這一行到： <tscreen><verb>#define SHADOW.PASSWORD</verb></tscreen> 然後， <tscreen><verb>cd ../Makefiles</verb></tscreen> 且編輯 <tt>Makefile.lnx</tt> 檔和改變 <tscreen><verb>LIBES = -lsupport -lbsd # -lshadow</verb></tscreen> 這一行到： <tscreen><verb>LIBES = -lsupport -lbsd -lshadow</verb></tscreen> 然後建立(build)和安裝(install)： <tscreen><verb>cd .. build lnx cp /usr/sbin/wu.ftpd /usr/sbin/wu.ftpd.old cp ./bin/ftpd /usr/sbin/wu.ftpd</verb></tscreen> 註：你應該檢查你的 <tt>/etc/inetd.conf</tt> 檔來確認你的 wu.ftpd server 是不是真的活著。有些版本可能將 server daemons 放在不同的地方或用不同的名字表示。 <sect1><heading>標準 ftpd 如果你正在執行標準的 <tt>ftpd</tt> server，我將建議你更新 <tt>wu_ftpd</tt> server。離開上述的 bug ，系統會比較安全。 如果你堅持在標準模式，或者你需要 NIS 支援，在 Sunsite <url url="ftp://sunsite.unc.edu/pub/Linux/system/Network/file-transfer/ftpd-shadow-nis.tgz" name="ftpd-shadow-nis.tgz"> 有參考資料。 <sect1><heading>pop3d (Post Office Protocol 3) 如果你需要支援第三版 Post Office Protocol (POP3)，你將需要重新編譯 <tt>pop3d</tt> 程式。 <tt>pop3d</tt> 可以透過 <tt>inetd/tcpd</tt> 以 <tt>root</tt> 權限正常的執行。 從 Sunsite 有兩個版本可以獲得： <url url="ftp://sunsite.unc.edu/pub/Linux/system/Mail/pop/pop3d-1.00.4.linux.shadow.tar.gz" name="pop3d-1.00.4.linux.shadow.tar.gz"> 和 <url url="ftp://sunsite.unc.edu/pub/Linux/system/Mail/pop/pop3d+shadow+elf.tar.gz" name="pop3d+shadow+elf.tar.gz"> 這兩個都很簡單可以安裝。 <sect1><heading>xlock 如果你安裝 shadow suite，然後執行 X Windows System 和 lock 螢幕沒以更新你的 <tt>xlock</tt> 檔，你將必須使用 <tt>CNTL-ALT-Fx</tt> 去切換另一個 tty，簽入(login)和殺掉(kill) <tt>xlock</tt> process (或使用 <tt>CNTL-ALT-BS</tt> 殺掉 X server)。很幸運的這也很容易可以更新你的 <tt>xlock</tt> 程式。 如果你正執行 XFree86 Versions 3.x.x，且正正確使用 <tt>xlockmore</tt> (是一個很棒的螢幕保護程式). 這個套件支援 shadow，只要重新編譯即可。如果你有任何較老的 <tt>xlock</tt> 版本，我建議你更新下列版本： <tt>xlockmore-3.5.tgz</tt> 可以從 <url url="ftp://sunsite.unc.edu/pub/Linux/X11/xutils/screensavers/xlockmore-3.7.tgz"> 網站獲得。 基本上這是你所要的。 擷取 <tt>xlockmore-3.7.tgz</tt> ，並將它放在 <tt>/usr/src</tt> 目錄並解壓縮： <tscreen><verb>tar -xzvf xlockmore-3.7.tgz</verb></tscreen> 編輯這個檔： <tt>/usr/X11R6/lib/X11/config/linux.cf</tt>, 和改變 <tscreen><verb>#define HasShadowPasswd NO 這一行到： #define HasShadowPasswd YES</verb></tscreen> 然後建立可執行檔： <tscreen><verb>cd /usr/src/xlockmore xmkmf make depend make</verb></tscreen> 然後搬移所以檔案到正確目錄且更新檔案擁有者及執行權限： <tscreen><verb>cp xlock /usr/X11R6/bin/ cp XLock /var/X11R6/lib/app-defaults/ chown root.shadow /usr/X11R6/bin/xlock chmod 2755 /usr/X11R6/bin/xlock chown root.shadow /etc/shadow chmod 640 /etc/shadow</verb></tscreen> 你的 xlock 將可以正確的運作囉！ <sect1><heading>xdm <tt>xdm</tt> 是一個可以表示在 X-Windows 簽入畫面的程式。某些系統開始 <tt>xdm</tt> 當系統被告知道一個特定的執行水準(參考 <tt>/etc/inittab</tt>)。 伴隨著 Shadow Suite 安裝， <tt>xdm</tt> 需要被更新。很幸運的這也很容易可以更新你的 <tt>xdm</tt> 程式。 <tt>xdm.tar.gz</tt> 可以從下列網址獲得： <url url="ftp://sunsite.unc.edu/pub/Linux/X11/xutils/xdm.tar.gz"> 擷取 <tt>xdm.tar.gz</tt> 檔並將它放在 <tt>/usr/src</tt>目錄然後解壓縮： <tscreen><verb>tar -xzvf xdm.tar.gz</verb></tscreen> 編輯這個檔： <tt>/usr/X11R6/lib/X11/config/linux.cf</tt>，且改變 <tscreen><verb>#define HasShadowPasswd NO 這一行到： #define HasShadowPasswd YES</verb></tscreen> 然後建立可執行檔： <tscreen><verb>cd /usr/src/xdm xmkmf make depend make</verb></tscreen> 然後搬移所有檔案正確目錄： <tscreen><verb>cp xdm /usr/X11R6/bin/</verb></tscreen> <tt>xdm</tt> 以 root 權限在執行，所以你不需要改變檔案存取權限。 <sect1><heading>sudo <tt>sudo</tt> 程式允許系統管理員讓使用者可以以 root 權限正常的執行程式。這是非常方便的因為它可以限制管理者執行 root 帳號本身權限，還可以允許使用者作像 mounte drives 的事情。 <tt>sudo</tt> 需要讀取密碼因為在執行時需確認使用者密碼。 <tt>sudo</tt> 已經執行 SUID root，所以存取 <tt>/etc/shadow</tt> 黨不是問題。 <tt>sudo</tt> 支援 shadow suite 可在下列網址取得： <url url="ftp://sunsite.unc.edu/pub/Linux/system/Admin/sudo-1.2-shadow.tgz"> 警告：當你安裝 <tt>sudo</tt> 你的 <tt>/etc/sudoers</tt> 檔將取代預設值，所以你需要備份原始程式。如果你有家任何設定在預設程式，你可能要編輯 Makefile 且移除複製該檔到 <tt>/etc</tt> 的這行。 該套件已經對 shadow 進行設定，所以只要重新編譯該套件即可 (把它放在 <tt>/usr/src</tt> 目錄)： <tscreen><verb>cd /usr/src tar -xzvf sudo-1.2-shadow.tgz cd sudo-1.2-shadow make all make install</verb></tscreen> <sect1><heading>imapd (E-Mail [pine package]) <tt>imapd</tt> 是一個像 <tt>pop3d</tt> 的 email server。 <tt>imapd</tt> 隨著 Pine E-mail 套件發生。其操作手冊在介紹該套件時即包含 shadow 支援。然而，我發現這不全然正確。再加上在編譯時加上 <tt>libshadow.a</tt> 函式庫和該套件結合 build script / Makefile 是非常不容易的。所以對 <tt>imapd</tt> 加入 shadow 支援是不太可能的。 如果有任何答案，可以 Email 給我，我會將該解答放到這裡。 <sect1><heading>pppd (Point-to-Point Protocol Server) pppd server 可以使用幾種權限設定： Password Authentication Protocol (PAP) 和 Cryptographic Handshake Authentication Protocol (CHAP)。 pppd server 從 <tt>/etc/ppp/chap-secrets</tt> 和/或 <tt>/etc/ppp/pap-secrets</tt> 檔讀取密碼字串。如果你正使用預設 pppd 的執行，就沒有必要再重新安裝 pppd 。 pppd 以允許你使用 login 參數。如果 login 選項被選取， pppd 將使用 <tt>/etc/passwd</tt> 檔的帳號密碼給 PAP. 當然在不久密碼檔會是 shadowedm。pppd-1.2.1d 檔已經加入對 shadow 的支援。 下一節加入支援 shadow 的範例是針對 <tt>pppd-1.2.1d</tt> (一個較老版本的 pppd). <tt>pppd-2.2.0</tt> 版就已經包括 shadow 支援囉。 <sect><heading>將 Shadow Suite 放進來使用。<label id="sec-work"> 這節描述你需要知道有些程式在安裝時就已經有 Shadow Suite。大部分的資訊在操作手冊可以找到。 <sect1><heading>新增、修改和刪除使用者 Shadow Suite 新增下列指令用來新增、修改和刪除使用者。這也是可以安裝 <tt>adduser</tt> 程式。 <sect2><heading>useradd <tt>useradd</tt> 使令可用在系統中新增使用者。你也可以採用此指令來改變預設字串。 你應該做的第一件事是檢查預設值設定和針對你的系統進行改變： <tscreen><verb>useradd -D</verb></tscreen><code> GROUP=1 HOME=/home INACTIVE=0 EXPIRE=0 SHELL= SKEL=/etc/skel</code> 預設值不全是你要的，所以如果你開始新增使用者，你必須詳閱每個使用者資訊。而且，我們可能和應該改變設定值。 在我的系統上： <itemize> <item>我要預設群組是 100 <item>我要密碼每到 60 天就到期 <item>我不要鎖住帳號因為密碼會到期 <item>我要預設 shell 是 <tt>/bin/bash</tt> </itemize> 為了這些改變，我要使用： <tscreen><verb>useradd -D -g100 -e60 -f0 -s/bin/bash</verb></tscreen> 現在執行 <tt>useradd -D</tt> 將得到： <code> GROUP=100 HOME=/home INACTIVE=0 EXPIRE=60 SHELL=/bin/bash SKEL=/etc/skel </code> 儘管依照你需要修改，預設值將存在 <tt>/etc/default/useradd</tt>. 先在你可以使用 <tt>useradd</tt> 來新增系統使用者。舉例說明，新增一使用者 <tt>fred</tt> 使用預設值方式如下： <tscreen><verb>useradd -m -c "Fred Flintstone" fred</verb></tscreen> 這將在 <tt>/etc/passwd</tt> 檔中的一行建立如下： <tscreen><verb>fred:*:505:100:Fred Flintstone:/home/fred:/bin/bash</verb></tscreen> 且在 <tt>/etc/shadow</tt> 檔中的一行建立如下； <tscreen><verb>fred:!:0:0:60:0:0:0:0</verb></tscreen> <tt>fred</tt>的根目錄將被建立且 <tt>/etc/skel</tt> 的內容將被複製因為指令句中有 <tt>-m</tt> 設定。 因為我們並未詳述 UID，系統會直接尋找下一個可獲得的編號。 <tt>fred</tt>的帳號被建立囉，但是 <tt>fred</tt> 仍然不能簽入直到我們不再鎖住(unlock)這個帳號。透過更改密碼完成 unlock 帳號，方法如下： <tscreen><verb>passwd fred</verb></tscreen> <code> Changing password for fred� Enter the new password (minimum of 5 characters) Please use a combination of upper and lower case letters and numbers. New Password: ******* Re-enter new password: ******* </code> 現在 <tt>/etc/shadow</tt> 檔將包含： <tscreen><verb>fred:J0C.WDR1amIt6:9559:0:60:0:0:0:0</verb></tscreen> 且 <tt>fred</tt> 將可以簽入和使用該系統。 <tt>useradd</tt> 和其他附帶 Shadow Suite 比較好的地方是可以自動改變 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 。所以如果你正在新增一個使用者，且另一個使用者正在更改密碼，這兩個操作都可以正確的執行。 你使用提供的指令比直接存取 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 檔還好。如果你正編輯 <tt>/etc/shadow</tt> 檔，且有個使用者在你編輯時要改變他的密碼，然後你儲存編輯結果，這個使用者的密碼將會遺失掉。 這裡是使用 <tt>useradd</tt> 和 <tt>passwd</tt> 新增使用者的一些 interactive script ： <code> #!/bin/bash # # /sbin/newuser - A script to add users to the system using the Shadow # Suite's useradd and passwd commands. # # Written my Mike Jackson <mhjack@tscnet.com> as an example for the Linux # Shadow Password Howto. Permission to use and modify is expressly granted. # # This could be modified to show the defaults and allow modification similar # to the Slackware Adduser program. It could also be modified to disallow # stupid entries. (i.e. better error checking). # ## # Defaults for the useradd command ## GROUP=100 # Default Group HOME=/home # Home directory location (/home/username) SKEL=/etc/skel # Skeleton Directory INACTIVE=0 # Days after password expires to disable account (0=never) EXPIRE=60 # Days that a passwords lasts SHELL=/bin/bash # Default Shell (full path) ## # Defaults for the passwd command ## PASSMIN=0 # Days between password changes PASSWARN=14 # Days before password expires that a warning is given ## # Ensure that root is running the script. ## WHOAMI=`/usr/bin/whoami` if [ $WHOAMI != "root" ]; then echo "You must be root to add news users!" exit 1 fi ## # Ask for username and fullname. ## echo "" echo -n "Username: " read USERNAME echo -n "Full name: " read FULLNAME # echo "Adding user: $USERNAME." # # Note that the "" around $FULLNAME is required because this field is # almost always going to contain at least on space, and without the "'s # the useradd command would think that you we moving on to the next # parameter when it reached the SPACE character. # /usr/sbin/useradd -c"$FULLNAME" -d$HOME/$USERNAME -e$EXPIRE \ -f$INACTIVE -g$GROUP -m -k$SKEL -s$SHELL $USERNAME ## # Set password defaults ## /bin/passwd -n $PASSMIN -w $PASSWARN $USERNAME >/dev/null 2>&1 ## # Let the passwd command actually ask for password (twice) ## /bin/passwd $USERNAME ## # Show what was done. ## echo "" echo "Entry from /etc/passwd:" echo -n " " grep "$USERNAME:" /etc/passwd echo "Entry from /etc/shadow:" echo -n " " grep "$USERNAME:" /etc/shadow echo "Summary output of the passwd command:" echo -n " " passwd -S $USERNAME echo "" </code> 新增使用者是用 script 比直接編輯 <tt>/etc/passwd</tt> / <tt>/etc/shadow</tt> 檔或使用像 Slackware 的 <tt>adduser</tt> 程式還要好。 需要更多 <tt>useradd</tt> 資訊請參照線上操作手冊。 <sect2><heading>usermod <tt>usermod</tt> 程式是用在修改使用者資訊。它的參數使用和 <tt>useradd</tt> 程式類似。 如果你要更新 <tt>fred</tt> 的 shell，你要作下列步驟： <tscreen><verb>usermod -s /bin/tcsh fred</verb></tscreen> 現在 <tt>fred</tt> 的 <tt>/etc/passwd</tt> 檔將變成： <tscreen><verb>fred:*:505:100:Fred Flintstone:/home/fred:/bin/tcsh</verb></tscreen> 如果要使 <tt>fred</tt> 的帳號到期日為 09/15/97： <tscreen><verb>usermod -e 09/15/97 fred</verb></tscreen> 現在 <tt>fred</tt> 在 <tt>/etc/shadow</tt> 的欄位變成： <tscreen><verb>fred:J0C.WDR1amIt6:9559:0:60:0:0:10119:0</verb></tscreen> 需要更多 <tt>usermod</tt> 資訊請參照線上操作手冊。 <sect2><heading>userdel <tt>userdel</tt> 用在刪除使用者，使用方法為： <tscreen><verb>userdel -r username</verb></tscreen> <tt>-r</tt> 參數可以將該使用者根目錄全部移除。位在期待目錄的檔案則需手動移除。 如果你只是要簡單的鎖住帳號而沒有要刪除它，建議你使用 <tt>passwd</tt> 指令。 <sect1><heading>passwd 指令和 passwd 老化 <tt>passwd</tt> 指令很明顯使用在改變密碼，除此之外，可由 root 使用在： <itemize> <item>Lock 和 unlock 帳號 (<tt>-l</tt> and <tt>-u</tt>) <item>設定密碼合法的最大天數 (<tt>-x</tt>) <item>設定密碼改變間的最小天數 (<tt>-n</tt>) <item>設定密碼到期的警告天數 (<tt>-w</tt>) <item>設定在帳號未被鎖死密碼到期後的警告天數 (<tt>-i</tt>) <item>允許查詢帳號資訊 (<tt>-S</tt>) </itemize> 舉例說明，如果要鎖死 <tt>fred</tt> 帳號： <tscreen><verb>passwd -S fred fred P 03/04/96 0 60 0 0</verb></tscreen> 這表示 <tt>fred</tt> 的密碼是有效的，它在 03/04/96 被修改且任何時間都可被修改， fred 將不會收到警告且帳號將不會因密碼到期而關閉。 這表示如果 <tt>fred</tt> 在密碼到期後簽入，它將被要求用一個新密碼簽入。 如果我們決定要警告 <tt>fred</tt> 在密碼過期前 14 天，且讓它的帳號在到期後14天警告，我們需要作下列步驟： <tscreen><verb>passwd -w14 -i14 fred</verb></tscreen> 現在 <tt>fred</tt> 改變為： <tscreen><verb>fred P 03/04/96 0 60 14 14</verb></tscreen> 需要更多 <tt>passwd</tt> 資訊請參照線上操作手冊。 <sect1><heading>login.defs 檔 <tt>/etc/login</tt> 檔是對 <tt>login</tt> 程式的 configuration file 且對 Shadow Suite。 <tt>/etc/login</tt> 包含從預設值密碼改變的驅動設定。 <tt>/etc/login.defs</tt> 檔是一個很好的文件檔，然而仍有些事情要注意： <itemize> <item>It contains flags that can be turned on or off that determine the amount of logging that takes place. <item>It contains pointers to other configuration files. <item>It contains defaults assignments for things like password aging. </itemize> 跟去上述你可以發現這是一個重要檔，且你應該確認目前設定及你將對你系統的設定內容。 <sect1><heading>群組密碼 <tt>/etc/groups</tt> 檔包括允許是用者存取群組之密碼。如果你定義 <tt>SHADOWGRP</tt> 在 <tt>/usr/src/shadow-YYMMDD/config.h</tt> 檔將開啟該功能。 如果你定義該常數且編譯它，你需建立一個 <tt>/etc/gshadow</tt> 檔來保存群組密碼和群組管理者資訊。 當你建立 <tt>/etc/shadow</tt>。你使用一個呼叫程式叫做 <tt>pwconv</tt>，該程式不會建立 <tt>/etc/gshadow</tt> 檔，但是這沒關係，只要你自行建立即可。 為了建立起始 <tt>/etc/gshadow</tt> 檔要執行下列步驟： <tscreen><verb>touch /etc/gshadow chown root.root /etc/gshadow chmod 700 /etc/gshadow</verb></tscreen> 每次你建立一個新群組，它們會被加到 <tt>/etc/group</tt> 和 <tt>/etc/gshadow</tt> 檔。如果你透過新增或移除使用者來修改群組或改變群組密碼，<tt>/etc/gshadow</tt> 檔都將被改變。 <tt>groups</tt>, <tt>groupadd</tt>, <tt>groupmod</tt>, 和 <tt>groupdel</tt> 程式是用來供應 Shadow Suite 部分可以變更群組。 <tt>/etc/group</tt> 檔格式如下： <tscreen><verb>groupname:!:GID:member,member,...</verb></tscreen> 其中： <descrip> <tag/<tt>groupname</tt></tag> The name of the group <tag/<tt>!</tt></tag> The field that normally holds the password, but that is now relocated to the <tt>/etc/gshadow</tt> file. <tag/<tt>GID</tt></tag> The numerical group ID number <tag/<tt>member</tt></tag> List of group members </descrip> <tt>/etc/gshadow</tt> 檔格式如下： <tscreen><verb>groupname:password:admin,admin,...:member,member,...</verb></tscreen> 其中： <descrip> <tag/<tt>groupname</tt></tag> The name of the group <tag/<tt>password</tt></tag> The encoded group password. <tag/<tt>admin</tt></tag> List of group administrators <tag/<tt>member</tt></tag> List of group members </descrip> <tt>gpasswd</tt> 指令是用在新增或移除管理者和群組成員。 <tt>root</tt> 或其他在群組管理者人員可新增或移除群組成員。 群組密碼可以透過 <tt>passwd</tt> 指令改變，需透過 root 或在該群組管理者有權限的帳號方可修改。 Despite the fact that there is not currently a manual page for <tt>gpasswd</tt>, typing <tt>gpasswd</tt> without any parameters gives a listing of options. It's fairly easy to grasp how it all works once you understand the file formats and the concepts. <sect1><heading>檢查程式一致性 <sect2><heading>pwck <tt>pwck</tt> 程式提供在 <tt>/etc/passwd</tt> 和 <tt>/etc/shadow</tt> 檔的一致性檢查。它將檢查每個使用者名稱且依照下列步驟確認： <itemize> <item>the correct number of fields <item>unique user name <item>valid user and group identifier <item>valid primary group <item>valid home directory <item>valid login shell </itemize> 它也會警告沒有密碼的帳號。 在安裝 Shadow Suite 後執行 <tt>pwck</tt> 是一個很好的點子。它也可以每週或每月週期性的執行。如果你使用 <tt>-r</tt> 參數，你可以用 <tt>cron</tt> 來執行且收到電子郵件報告 <sect2><heading>grpck <tt>grpck</tt> 檢查 <tt>/etc/group</tt> 和 <tt>/etc/gshadow</tt> 檔一致性的程式。它作下列檢查： <itemize> <item>the correct number of fields <item>unique group name <item>valid list of members and administrators </itemize> 它也有 <tt>-r</tt> 參數自動產生報表。 <sect1><heading>Dial-up 密碼 Dial-up 密碼是另一個對系統防禦的選項列，該系統允許撥接存取。如果你有一個系統允許許多人區域網路連結，但是你想限制撥接的權限，那你需使用 dial-up 密碼。為了要開啟 dial-up 密碼，你必須編輯 <tt>/etc/login.defs</tt> 檔且確定將 <tt>DIALUPS_CHECK_ENAB</tt> 設定為 <tt>yes</tt>. 有兩個檔案包括 dial-up 資訊， <tt>/etc/dialups</tt> 包括 ttys (one per line, with the leading "/dev/" removed)。如果 tty 有被列出， dial-up 表示已經被檢查。 第二個檔是 <tt>/etc/d_passwd</tt> 。這個檔包括 shell 全部合法路徑名稱。 如果以個使用者簽入一條列在 <tt>/etc/dialups</tt> 的線(line)，且他的 shell 被列在 <tt>/etc/d_passwd</tt> 檔，他將被允許存取透過提供正確的密碼。 另一個使用 dial-up 密碼的目的是設定指允許某些形式連結的線(可能是PPP 或 UUCP 連結)。如果一個使用者試著得到另一種形式連結 (i.e. a list of shells)，他必須知道使用這條線的密碼。 在你可以在未來使用 dial-up 前，你密需建立一些檔案。 <tt>dpasswd</tt> 指令提供對在 <tt>/etc/d_passwd</tt> 檔的 shells 指派密碼。可以看操作手冊的到更多資訊。 <sect><heading>加入 shadow 支援 C 語言<label id="sec-adding"> 新增支援 shadow 程式事實上是很直接的。唯一的問題是程式需要以 root (或 SUID root) 權限執行，這樣才可以存取 <tt>/etc/shadow</tt> 檔。 這顯示一個大問題：當建立 SUID 程式時需要很小心依照程式運作。舉例說明：如果以個程式有 shell escape，如果程式本身是 SUID root 將不需要以 root 方式呈現。 對程式新增支援 shadow 而言，它可以檢查密碼，但不需以 root 權限執行，而是以 SUID shadow 取代執行比較安全。 <tt>xlock</tt> 程式就是一個例子。 接下來範例介紹， <tt>pppd-1.2.1d</tt> 已經以 SUID as root 方式執行，所以新增 shadow 支援應該不會使程式產生任何影響。 <sect1><heading>標頭檔(Header files) 標頭檔應存在 <tt>/usr/include/shadow</tt>。應該有一個 <tt>/usr/include/shadow.h</tt>檔，但是它將 symbolic link 到 <tt>/usr/include/shadow/shadow.h</tt>。 為了新增支援 shadow 程式，你需要 include 標頭檔： <verb> #include <shadow/shadow.h> #include <shadow/pwauth.h> </verb> <sect1><heading>libshadow.a 函式庫(library) 當你安裝 Shadow Suite， <tt>libshadow.a</tt> 檔被建立和安裝在 <tt>/usr/lib</tt> 目錄。 當編譯一個 shadow support 程式，linker 需要包括 <tt>libshadow.a</tt> 函式庫進入鏈結。 執行如下： <tscreen><verb>gcc program.c -o program -lshadow</verb></tscreen> 然而，就像我們接下來要看的例子，大部分大程式使用 <tt>Makefile</tt> 且通常有變數呼叫 <tt>LIBS=...</tt> 需要被修改。 <sect1><heading>Shadow 結構(Structure) <tt>libshadow.a</tt> 函式庫對它從 <tt>/etc/shadow</tt> 檔接收資訊使用結構化呼叫。這是從 <tt>/usr/include/shadow/shadow.h</tt> 標頭檔的 <tt>spwd</tt> 結構定義： <code> struct spwd { char *sp_namp; /* login name */ char *sp_pwdp; /* encrypted password */ sptime sp_lstchg; /* date of last change */ sptime sp_min; /* minimum number of days between changes */ sptime sp_max; /* maximum number of days between changes */ sptime sp_warn; /* number of days of warning before password expires */ sptime sp_inact; /* number of days after password expires until the account becomes unusable. */ sptime sp_expire; /* days since 1/1/70 until account expires */ unsigned long sp_flag; /* reserved for future use */ }; </code> Shadow Suite 可以放除了編碼密碼之外的資料到 <tt>sp_pwdp</tt> 欄位。密碼欄位可包括： <tscreen><verb>username:Npge08pfz4wuk;@/sbin/extra:9479:0:10000::::</verb></tscreen> 這表示一個額外的密碼， <tt>/sbin/extra</tt> 程式應該被更多的權限呼叫。程式的呼叫需取得使用者名稱和指出為何需被呼叫的 switch才可通過。查看 <tt>/usr/include/shadow/pwauth.h</tt> 和原始碼 <tt>pwauth.c</tt> 獲得更多資訊。 為何我們應使用 <tt>pwauth</tt> 去表示真正的權限，這是什麼意思，它將使第二組權限也跑得很好。 Shadow Suite 作者指出因為大部分存在的程式都不這麼作囉，所以 Shadow Suite未來的版本將移除。 <sect1><heading>Shadow 函式(Functions) <tt>shadow.h</tt> 包含 <tt>libshadow.a</tt> 函式庫： <code> extern void setspent __P ((void)); extern void endspent __P ((void)); extern struct spwd *sgetspent __P ((__const char *__string)); extern struct spwd *fgetspent __P ((FILE *__fp)); extern struct spwd *getspent __P ((void)); extern struct spwd *getspnam __P ((__const char *__name)); extern int putspent __P ((__const struct spwd *__sp, FILE *__fp)); </code> 我們將使用的範例程式是： <tt>getspnam</tt> 將對供應名稱恢復對我們 <tt>spwd</tt> 結構。 <sect1><heading>範例 這是一個範例描述新增 shadow 支援程式，但預設值並沒有。 本範例使用 Point-to-Point Protocol Server (pppd-1.2.1d)，它有個模式是表示從 <tt>/etc/passwd</tt> 檔取代 PAP 或 CHAP 檔使用帳號密碼的 PAP 權限，你將不需要在 <tt>pppd-2.2.0</tt> 加這些程式碼，因為它已經存在囉。 pppd 的未來大致上不會被使用很多，但是如果你安裝 Shadow Suite，儲存在 <tt>/etc/passwd</tt> 檔的密碼將無法運作。 在 <tt>pppd-1.2.1d</tt> 權限使用的程式碼是位在 <tt>/usr/src/pppd-1.2.1d/pppd/auth.c</tt> 檔。 接下來程式碼需要被加在所有其他 <tt>#include</tt> 指令檔案的最上頭，我們將注意有環境指令的 <tt>#includes</tt>。 <code> #ifdef HAS_SHADOW #include <shadow.h> #include <shadow/pwauth.h> #endif </code> 接下來要做的事情是變更實際碼，我們將變更 <tt>auth.c</tt> 檔。 變更前 <tt>auth.c</tt> 檔 function 為： <code> /* * login - Check the user name and password against the system * password database, and login the user if OK. * * returns: * UPAP_AUTHNAK: Login failed. * UPAP_AUTHACK: Login succeeded. * In either case, msg points to an appropriate message. */ static int login(user, passwd, msg, msglen) char *user; char *passwd; char **msg; int *msglen; { struct passwd *pw; char *epasswd; char *tty; if ((pw = getpwnam(user)) == NULL) { return (UPAP_AUTHNAK); } /* * XXX If no passwd, let them login without one. */ if (pw->pw_passwd == '\0') { return (UPAP_AUTHACK); } epasswd = crypt(passwd, pw->pw_passwd); if (strcmp(epasswd, pw->pw_passwd)) { return (UPAP_AUTHNAK); } syslog(LOG_INFO, "user %s logged in", user); /* * Write a wtmp entry for this user. */ tty = strrchr(devname, '/'); if (tty == NULL) tty = devname; else tty++; logwtmp(tty, user, ""); /* Add wtmp login entry */ logged_in = TRUE; return (UPAP_AUTHACK); } </code> 使用者的密碼被放在 <tt>pw->pw_passwd</tt>，所以我們需新增 <tt>getspnam</tt> function，這將會把密碼放到 <tt>spwd->sp_pwdp</tt>。 我們將新增 <tt>pwauth</tt> function 來表示真正的權限。這將在 shadow 檔設定時自動產生第二個權限。 變更為可以支援 shadow 後的 <tt>auth.c</tt> function： <code> /* * login - Check the user name and password against the system * password database, and login the user if OK. * * This function has been modified to support the Linux Shadow Password * Suite if USE_SHADOW is defined. * * returns: * UPAP_AUTHNAK: Login failed. * UPAP_AUTHACK: Login succeeded. * In either case, msg points to an appropriate message. */ static int login(user, passwd, msg, msglen) char *user; char *passwd; char **msg; int *msglen; { struct passwd *pw; char *epasswd; char *tty; #ifdef USE_SHADOW struct spwd *spwd; struct spwd *getspnam(); #endif if ((pw = getpwnam(user)) == NULL) { return (UPAP_AUTHNAK); } #ifdef USE_SHADOW spwd = getspnam(user); if (spwd) pw->pw_passwd = spwd->sp-pwdp; #endif /* * XXX If no passwd, let NOT them login without one. */ if (pw->pw_passwd == '\0') { return (UPAP_AUTHNAK); } #ifdef HAS_SHADOW if ((pw->pw_passwd && pw->pw_passwd[0] == '@' && pw_auth (pw->pw_passwd+1, pw->pw_name, PW_LOGIN, NULL)) || !valid (passwd, pw)) { return (UPAP_AUTHNAK); } #else epasswd = crypt(passwd, pw->pw_passwd); if (strcmp(epasswd, pw->pw_passwd)) { return (UPAP_AUTHNAK); } #endif syslog(LOG_INFO, "user %s logged in", user); /* * Write a wtmp entry for this user. */ tty = strrchr(devname, '/'); if (tty == NULL) tty = devname; else tty++; logwtmp(tty, user, ""); /* Add wtmp login entry */ logged_in = TRUE; return (UPAP_AUTHACK); } </code> 嚴謹的範例將啟發我們在作其他改變的幫助。原始的版本如果在 <tt>/etc/passwd</tt> 檔沒有任何密碼，可允許存取傳回的 <tt>UPAP_AUTHACK</tt> 。這是不好的，因為簽入的使用是使用一個允許存取 PPP process的帳號，然後檢查帳號密碼，該帳號密碼是由 RAP 、在 <tt>/etc/passwd</tt> 檔的帳號和 <tt>/etc/shadow</tt> 檔的密碼供應。 所以如果我們設定原本版本對每個使用者，如 <tt>ppp</tt> 可以在 shell 執行，然後任何人可以獲得 ppp 鏈結透過設定他們對使用者 <tt>ppp</tt> 的 PAP 和 null 的密碼。 我們修正 <tt>UPAP_AUTHNAK</tt> 取代 <tt>UPAP_AUTHACK</tt> 如果密碼欄位是空的。 有趣的是 <tt>pppd-2.2.0</tt> 有相同的問題。 接下來我們需要變更 Makefile 以便讓兩件事發生： <tt>USE_SHADOW</tt> 必須被重新定義且<tt>libshadow.a</tt> 需要被新增到鏈結 process。 編輯 Makefile 且新增： <tscreen><verb>LIBS = -lshadow </verb></tscreen> 然後我們找到這一行： <tscreen><verb>COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t </verb></tscreen> 然後改變它變成： <tscreen><verb>COMPILE_FLAGS = -I.. -D_linux_=1 -DGIDSET_TYPE=gid_t -DUSE_SHADOW </verb></tscreen> 現在執行 make 跟 install. <sect><heading>常問問題及答案 Q: 我用 tty's 用root 權限使用 <tt>/etc/securettys</tt> 檔，但是都沒有任何運作，該如何解決？ A: <tt>/etc/securettys</tt> 檔在 Shadow Suite 安裝後就不具任何意義囉。 tty's 用 root 權限可以使用一個放在 <tt>/etc/login.defs</tt> 簽入設定檔進行修改。該設定檔也可能指到另一個檔。 Q: 我對 Shadow Suite 進行安裝後，現在我沒辦法簽入(login)系統，我有忽略什麼步驟嗎？ A: 你是真的安裝 Shadow 程式囉，但是並未執行 <tt>pwconv</tt> 或你忘記複製 <tt>/etc/npasswd</tt> 到 <tt>/etc/passwd</tt> 且複製 <tt>/etc/nshadow</tt> 到 <tt>/etc/shadow</tt>囉。你也需要複製 <tt>login.defs</tt> 到 <tt>/etc</tt>。 Q: 在 xlock 那一章節有提到改變 <tt>/etc/shadow</tt> 檔的群組擁有者到 <tt>shadow</tt>。我沒有 <tt>shadow</tt> 群組，該如何處理？ A: 你可以新增一個。簡單的編輯 <tt>/etc/group</tt> 檔，然後新增一行給 shadow 群組，你需要確認群組編號並未被其他群組使用，且你需要在 <tt>nogroup</tt> 紀錄之前插入該設定。或這你可以簡化對 root權限設定 suid <tt>xlock</tt>。 Q: 有任何對 Linux Shadow Password Suite 的電子郵件列表嗎？ A: 有，但是它的目的是針對 Linux 下一個 Shadow Suite版本發展跟測試，你可以到<tt>shadow-list-request@neptune.cin.net</tt> 電子郵件摘要輸入： <tt>subscribe</tt>。這是在討論 Linux <tt>shadow-YYMMSS</tt>系列版本。你應該參加如果你想參予未來發展或你安裝 Suite 在你的電腦且想要得到新版本的資訊。 Q: 我安裝 Shadow Suite，但是當我使用 <tt>userdel</tt> 命令後，我得到 "userdel: cannot open shadow group file" 訊息，我有哪裡作錯了嗎？ A: 你編譯 Shadow Suite 時有開啟 <tt>SHADOWGRP</tt> 選項，但是你沒有一個 <tt>/etc/gshadow</tt> 檔案，你需要編輯 <tt>config.h</tt> 檔和重新編譯或建立一個 <tt>/etc/group</tt> 檔，請看 shadow groups 那一節。 Q: 我安裝 Shadow Suite 但是我無法找到編碼密碼在我的 <tt>/etc/passwd</tt> 檔，發生什麼問題？ A: 你可能在 Shadow <tt>config.h</tt> 檔開啟 <tt>AUTOSHADOW</tt> 選項或者你的 <tt>libc</tt> 被 <tt>SAHDOW_COMPAT</tt> 選項編譯，你需要決定是哪個問題，然後再重新編譯。 <sect><heading>版權聲明(暫不翻譯) The Linux Shadow Password HOWTO is Copyright (c) 1996 Michael H. Jackson. Permission is granted to make and distribute verbatim copies of this document provided the copyright notice and this permission notice are preserved on all copies. Permission is granted to copy and distribute modified versions of this document under the conditions for verbatim copies above, provided a notice clearly stating that the document is a modified version is also included in the modified document. Permission is granted to copy and distribute translations of this document into another language, under the conditions specified above for modified versions. Permission is granted to convert this document into another media under the conditions specified above for modified versions provided the requirement to acknowledge the source document is fulfilled by inclusion of an obvious reference to the source document in the new media. Where there is any doubt as to what defines 'obvious' the copyright owner reserves the right to decide. <sect><heading>Miscellaneous and Acknowledgments. The code examples for <tt>auth.c</tt> are taken from pppd-1.2.1d and ppp-2.1.0e, Copyright (c) 1993 and The Australian National University and Copyright (c) 1989 Carnegie Mellon University. Thanks to Marek Michalkiewicz <marekm@i17linuxb.ists.pwr.wroc.pl> for writing and maintaining the Shadow Suite for Linux, and for his review and comments on this document. Thanks to Ron Tidd <rtidd@tscnet.com> for his helpful review and testing. Thanks to everyone who has sent me feedback to help improve this document. Please, if you have any comments or suggestions then mail them to me. regards <htmlurl url="mailto:mhjack@tscnet.com" name="Michael H. Jackson <mhjack@tscnet.com>"> </article>