5.1 Μάθημα 1

Τα Αναγνωριστικά Χρηστών και Ομάδων [User and Group Identifiers] (UID/GID) είναι οι βασικές, απαριθμημένες αναφορές σε λογαριασμούς. Οι πρώτες υλοποιήσεις ήταν περιορισμένες σε ακέραιους 16-bit (τιμές απο 0 έως 65535), αλλά τα συστήματα του 21ου αιώνα υποστηρίζουν 64-bit UID και GID. Οι χρήστες και οι ομάδες απαριθμούνται ανεξάρτητα, επομένως το ίδιο αναγνωριστικό [ID] μπορεί να αντιστοιχεί τόσο σε χρήστη όσο και σε ομάδα.

Κάθε χρήστης δεν έχει μόνο ένα UID, αλλά και ένα πρωταρχικό GID. Το πρωταρχικό GID για έναν χρήστη μπορεί να είναι μοναδικό για αυτόν τον χρήστη και μπορεί να καταλήξει να μην χρησιμοποιείται από άλλους χρήστες. Ωστόσο, αυτή η ομάδα θα μπορούσε επίσης να είναι μια ομάδα κοινής χρήσης από πολλούς χρήστες. Εκτός από αυτές τις πρωταρχικές ομάδες, κάθε χρήστης μπορεί να είναι μέλος και σε άλλες ομάδες.

Από προεπιλογή, στα συστήματα Linux, κάθε χρήστης εκχωρείται σε μια ομάδα με το ίδιο όνομα με το όνομα χρήστη του και το ίδιο GID με το UID του. Για παράδειγμα, δημιουργήστε έναν νέο χρήστη με το όνομα newuser και, από προεπιλογή, η προεπιλεγμένη ομάδα του είναι επίσης newuser.

Στο Linux, ο λογαριασμός superuser είναι ο root, ο οποίος έχει πάντα UID 0. Ο superuser μερικές φορές ονομάζεται διαχειριστής συστήματος και έχει απεριόριστη πρόσβαση και έλεγχο στο σύστημα, συμπεριλαμβανομένων άλλων χρηστών.

Η προεπιλεγμένη ομάδα για τον superuser έχει το GID 0 και ονομάζεται επίσης root. Ο αφετηριακός κατάλογος για τον superuser είναι ένας αποκλειστικός κατάλογος ανώτατου επιπέδου, /root, στον οποίο έχει πρόσβαση μόνο ο ίδιος ο χρήστης root.

Όλοι οι λογαριασμοί εκτός από τον root είναι τεχνικά λογαριασμοί κανονικών χρηστών, αλλά σε ένα σύστημα Linux ο κοινός όρος λογαριασμός χρήστη σημαίνει συχνά έναν “κανονικό” (μη προνομιούχο) λογαριασμό χρήστη. Συνήθως έχουν τις ακόλουθες ιδιότητες, με επιλεγμένες εξαιρέσεις:

Εάν ένας λογαριασμός χρήστη δεν έχει ένα έγκυρο shell στα χαρακτηριστικά του, ο χρήστης δεν θα μπορεί να ανοίξει ένα διαδραστικό shell. Συνήθως το /sbin/nologin χρησιμοποιείται ως μη έγκυρο shell. Αυτό μπορεί να είναι σκόπιμο, εάν ο χρήστης θα πιστοποιηθεί μόνο για services εκτός από πρόσβαση στη κονσόλα ή SSH, π.χ. μόνο για ασφαλή πρόσβαση FTP (sftp).

Οι λογαριασμοί συστήματος συνήθως προ-δημιουργούνται κατά την εγκατάσταση του συστήματος. Αυτά είναι για εγκαταστάσεις, προγράμματα και services που δεν θα εκτελούνται ως ο superuser. Σε έναν ιδανικό κόσμο, όλα αυτά θα ήταν εγκαταστάσεις λειτουργικού συστήματος.

Οι λογαριασμοί συστήματος ποικίλλουν, αλλά τα χαρακτηριστικά τους περιλαμβάνουν:

Οι περισσότεροι λογαριασμοί συστήματος στο Linux δεν θα συνδεθούν ποτέ και δεν χρειάζονται ένα καθορισμένο shell στα χαρακτηριστικά τους. Πολλά processes που ανήκουν και εκτελούνται από λογαριασμούς συστήματος διακλαδώνουν στο δικό τους περιβάλλον από τη διαχείριση του συστήματος, και εκτελούνται με τον καθορισμένο λογαριασμό συστήματος. Αυτοί οι λογαριασμοί έχουν συνήθως περιορισμένα ή, τις περισσότερες φορές, μη προνόμια.

Γενικά, οι λογαριασμοί συστήματος θα πρέπει να μην έχουν έγκυρο shell σύνδεσης. Το αντίθετο θα ήταν θέμα ασφάλειας στις περισσότερες περιπτώσεις.

Οι λογαριασμοί services δημιουργούνται συνήθως όταν εγκαθίστανται και διαμορφώνονται services. Παρόμοια με τους λογαριασμούς συστήματος, αυτοί είναι για εγκαταστάσεις, προγράμματα και services που δεν θα εκτελούνται ως ο superuser.

Σε πολλά εγχειρίδια, οι λογαριασμοί συστήματος και υπηρεσιών είναι παρόμοιοι και εναλλάσσονται συχνά. Αυτό περιλαμβάνει τη θέση των αφετηριακών καταλόγων που είναι συνήθως εκτός του /home, εάν ορίζονται καθόλου (οι λογαριασμοί services είναι συχνά πιο πιθανό να έχουν έναν, σε σύγκριση με τους λογαριασμούς συστήματος), και χωρίς έγκυρο shell σύνδεσης. Αν και δεν υπάρχει αυστηρός ορισμός, η πρωταρχική διαφορά μεταξύ λογαριασμών συστήματος και services αναλύεται σε UID/GID.

Ορισμένες διανομές Linux εξακολουθούν να έχουν προ-δεσμευμένους λογαριασμούς services κάτω από UID <100, και αυτοί θα μπορούσαν επίσης να θεωρηθούν ως λογαριασμοί συστήματος, παρόλο που δεν έχουν δημιουργηθεί κατά την εγκατάσταση του συστήματος. Π.χ., σε διανομές Linux που βασίζονται στο Fedora (συμπεριλαμβανομένου του Red Hat), ο χρήστης για τον web server Apache έχει UID (και GID) 48, σαφώς έναν λογαριασμό συστήματος, παρόλο που έχει έναν αφετηριακό κατάλογο (συνήθως στο /usr/share/httpd ή στο /var/www/html/).

Ορισμένοι λογαριασμοί έχουν shell σύνδεσης, ενώ άλλοι όχι για λόγους ασφαλείας, καθώς δεν απαιτούν διαδραστική πρόσβαση. Το προεπιλεγμένο shell σύνδεσης στις περισσότερες διανομές Linux είναι το Bourne Again Shell ή bash, αλλά μπορεί να είναι διαθέσιμα άλλα shells, όπως το C Shell (csh), το shell Korn (ksh) ή το shell Z (zsh ), για να αναφέρουμε μερικά.

Ένας χρήστης μπορεί να αλλάξει το shell σύνδεσής του χρησιμοποιώντας την εντολή chsh. Από προεπιλογή, η εντολή εκτελείται σε διαδραστική λειτουργία και εμφανίζει μια ερώτηση που ρωτά ποιο shell πρέπει να χρησιμοποιηθεί. Η απάντηση θα πρέπει να είναι το πλήρες path προς το δυαδικό shell, όπως παρακάτω:

Μπορείτε επίσης να εκτελέσετε την εντολή σε μη διαδραστική λειτουργία, με την παράμετρο -s ακολουθούμενη από το path προς το δυαδικό, όπως:

Οι περισσότεροι λογαριασμοί έχουν καθορισμένο αφετηριακό κατάλογο. Στο Linux, αυτή είναι συνήθως η μόνη τοποθεσία όπου αυτός ο λογαριασμός χρήστη έχει εγγυημένη πρόσβαση εγγραφής, με ορισμένες εξαιρέσεις (π.χ. περιοχές προσωρινών συστημάτων αρχείων). Ωστόσο, ορισμένοι λογαριασμοί έχουν ρυθμιστεί σκόπιμα έτσι ώστε να μην έχουν πρόσβαση εγγραφής ακόμη και στον δικό τους αφετηριακό κατάλογο, για λόγους ασφαλείας.

Το αρχείο /etc/passwd αναφέρεται συνήθως ως αρχείο κωδικού πρόσβασης. Κάθε γραμμή περιέχει πολλά πεδία που οριοθετούνται πάντα με άνω και κάτω τελεία (:). Παρά το όνομα, ο πραγματικός, μονσήμαντα hashed, κωδικός πρόσβασης δεν αποθηκεύεται σήμερα σε αυτό το αρχείο.

Η τυπική σύνταξη για μια γραμμή σε αυτό το αρχείο είναι:

Όπου:

Για παράδειγμα, η ακόλουθη γραμμή περιγράφει τον χρήστη emma:

Το αρχείο /etc/group περιέχει πεδία που οριοθετούνται πάντα με άνω και κάτω τελεία (:), που αποθηκεύουν βασικές πληροφορίες σχετικά με τις ομάδες στο σύστημα. Μερικές φορές ονομάζεται “αρχείο ομάδας”. Η σύνταξη για κάθε γραμμή είναι:

Όπου:

Το παρακάτω παράδειγμα δείχνει μια γραμμή που περιέχει πληροφορίες σχετικά με την ομάδα students:

Ο χρήστης δεν χρειάζεται να αναφέρεται στο πεδίο μελών όταν η ομάδα είναι η πρωταρχική ομάδα για έναν χρήστη. Εάν ένας χρήστης περιλαμβάνεται στη λίστα, τότε είναι περιττός — δηλαδή, δεν υπάρχει καμία αλλαγή στη λειτουργικότητα, είτε περιλαμβάνεται είτε όχι.

Ο ακόλουθος πίνακας παραθέτει τα χαρακτηριστικά που είναι αποθηκευμένα στο αρχείο /etc/shadow, που συνήθως αναφέρεται ως “shadow file”. Το αρχείο περιέχει πεδία που οριοθετούνται πάντα με άνω και κάτω τελεία (:). Αν και το αρχείο έχει πολλά πεδία, τα περισσότερα είναι εκτός του πεδίου αυτού του μαθήματος, εκτός από τα δύο πρώτα.

Η βασική σύνταξη για μια γραμμή σε αυτό το αρχείο είναι:

Όπου:

Στο παρακάτω παράδειγμα, μπορείτε να δείτε ένα δείγμα καταχώρησης από το αρχείο /etc/shadow. Λάβετε υπόψη ότι ορισμένες τιμές, όπως INACTIVE και EXPDATE δεν έχουν καθοριστεί.

Η “εποχή” ενός συστήματος POSIX είναι τα μεσάνυχτα (0000), της Παγκόσμια Ώρα Συντεταγμένων (UTC), την Πέμπτη 1η Ιανουαρίου 1970. Οι περισσότερες ημερομηνίες και ώρες POSIX είναι είτε σε δευτερόλεπτα από την “εποχή”, είτε στη περίπτωση του αρχείου /etc/shadow, ημέρες από την “εποχή”.

Παρόλο που υπάρχουν διαφορετικές λύσεις ελέγχου ταυτότητας, η στοιχειώδης μέθοδος αποθήκευσης κωδικού πρόσβασης είναι η μονής κατεύθυνσης hash function. Αυτό γίνεται έτσι ώστε ο κωδικός πρόσβασης να μην αποθηκεύεται ποτέ σε καθαρό κείμενο σε ένα σύστημα, καθώς η συνάρτηση hashing είναι μη αναστρέψιμη. Μπορείτε να μετατρέψετε έναν κωδικό πρόσβασης σε hash, αλλά (ιδανικά) δεν είναι δυνατό να μετατρέψετε ένα hash σε κωδικό πρόσβασης.

Το πολύ, απαιτείται μια μέθοδος brute force για το hashing όλων των συνδυασμών ενός κωδικού πρόσβασης, μέχρι να ταιριάζει κάποιος. Για να περιοριστεί το πρόβλημα του σπασίματος ενός hash κωδικού πρόσβασης σε ένα σύστημα, τα συστήματα Linux χρησιμοποιούν ένα τυχαίο “salt” σε κάθε hash κωδικού πρόσβασης για έναν χρήστη. Έτσι, το hash για έναν κωδικό πρόσβασης χρήστη σε ένα σύστημα Linux συνήθως δεν θα είναι ο ίδιος όπως σε άλλο σύστημα Linux, ακόμα κι αν ο κωδικός πρόσβασης είναι ο ίδιος.

Στο αρχείο /etc/shadow, ο κωδικός πρόσβασης μπορεί να έχει διάφορες μορφές. Αυτές οι μορφές περιλαμβάνουν συνήθως τα ακόλουθα:

Η συνάρτηση hash, το hash salt και η hash συμβολοσειρά προηγούνται και οριοθετούνται από ένα σύμβολο δολαρίου ($). Το μήκος του hash salt πρέπει να είναι μεταξύ οκτώ και δεκαέξι (8-16) χαρακτήρων. Παραδείγματα από τα τρία πιο κοινά είναι τα εξής:

Από τη σκοπιά των σκοπών και της εξέτασης του LPI Linux Essentials, κατανοήστε απλώς ότι το hash κωδικού πρόσβασης για έναν τοπικό χρήστη αποθηκεύεται μόνο στο αρχείο /etc/shadow το οποίο μόνο επιλεγμένες, services ελέγχου ταυτότητας μπορούν να διαβάσουν ή ο superuser μπορεί να τροποποιήσει μέσω άλλων εντολών .