5.1 Lezione 1

Gli identificativi utente e di gruppo (UID - User Identifier/GID - Group Identifier) sono i riferimenti numerici di base agli account. Le prime implementazioni prevedevano numeri interi limitati a 16 bit (valori da 0 a 65535), ma i sistemi moderni (del 21° secolo) supportano UID e GID a 64 bit. Utenti e gruppi vengono enumerati in modo indipendente: quindi lo stesso ID può rappresentare sia un utente sia un gruppo.

Ogni utente ha non solo un UID, ma anche un GID primario. Il GID primario per un utente può essere univoco solo per quell’utente e potrebbe non essere utilizzato da altri utenti. Tuttavia, questo gruppo potrebbe anche essere un gruppo condiviso da numerosi utenti. Oltre a questi gruppi primari, ogni utente può essere membro anche di altri gruppi.

Sui sistemi Linux, per impostazione predefinita, ogni utente viene assegnato a un gruppo con lo stesso nome del proprio nome utente, e lo stesso GID del proprio UID. Per esempio, se si crea un nuovo utente chiamato newuser, per impostazione predefinita anche il suo gruppo di default sarà newuser.

Su Linux l’account superuser è root, che ha sempre UID 0. Talvolta il superuser è chiamato amministratore di sistema e ha accesso e controllo illimitati sul sistema, inclusi gli altri utenti.

Il gruppo predefinito per il superuser ha GID 0 e anch’esso è chiamato root. La directory home del superuser è una directory di primo livello dedicata, /root, accessibile solo dall’utente root stesso.

Tutti gli account diversi da root sono tecnicamente account utenti ordinari, ma su un sistema Linux il termine colloquiale account utente spesso si riferisce a un account utente “ordinario” (non privilegiato). In genere hanno le seguenti proprietà, con alcune eccezioni:

Se un account utente non ha una shell valida nei propri attributi, l’utente non sarà in grado di aprire una shell interattiva. Di solito /sbin/nologin viene usato per indicare una shell non valida. Questo può essere utile nel caso in cui l’utente venga autenticato solo per servizi diversi dalla console o dall’accesso SSH, per esempio solo per l’accesso FTP sicuro (sftp).

Gli account di sistema vengono generalmente creati durante l’installazione del sistema. Questi sono destinati a strutture (facility), programmi e servizi che non verranno eseguiti come superuser. In un mondo ideale, sarebbero tutte facility del sistema operativo.

Gli account di sistema variano, ma i loro attributi includono:

La maggior parte degli account di sistema su Linux non effettuerà mai il login e quindi non necessita di una shell definita nei propri attributi. Molti processi che hanno come come owner e vengono eseguiti dagli account di sistema vengono biforcati nel proprio ambiente dal gestore di sistema, in esecuzione con l’account di sistema specificato. Questi account di solito hanno privilegi limitati o, il più delle volte, nessun privilegio.

In generale gli account di sistema non dovrebbero avere una shell di login valida. Il contrario costituirebbe un problema di sicurezza nella maggior parte dei casi.

Gli account di servizio vengono generalmente creati quando vengono installati e configurati i servizi. Similmente agli account di sistema, sono destinati a strutture (facility), programmi e servizi che non vengono eseguiti come superuser.

In molta documentazione gli account di sistema e di servizio sono simili e spesso interscambiabili. Ciò include la posizione delle directory home, che, se definite, tipicamente si trovano al di fuori di /home (gli account di servizio hanno spesso maggiori probabilità di averne una rispetto agli account di sistema) e nessuna shell di login valida. Sebbene non esista una definizione rigorosa, la differenza principale tra gli account di sistema e di servizio sta negli UID/GID.

Alcune distribuzioni Linux hanno ancora account di servizio pre-riservati con UID < 100 e potrebbero anche essere considerati account di sistema, anche se non vengono creati durante l’installazione. Per esempio, nelle distribuzioni Linux basate su Fedora (incluso Red Hat), l’utente per il server Web Apache ha UID (e GID) 48, chiaramente un account di sistema, nonostante abbia una home directory (di solito in /usr/share/httpd o /var/www/html/).

Alcuni account hanno una shell di login, mentre altri no per motivi di sicurezza, in quanto non richiedono un accesso interattivo. La shell di login predefinita nella maggior parte delle distribuzioni Linux è la Bourne Again Shell, o bash, ma potrebbero essere disponibili anche altre shell, come la shell C (csh), la shell Korn (ksh) o la shell Z (zsh ), giusto per nominarne alcune.

Un utente può cambiare la sua shell di login utilizzando il comando chsh. Per impostazione predefinita, il comando viene eseguito in modalità interattiva e visualizza un prompt che chiede quale shell debba essere utilizzata. La risposta dovrebbe essere il percorso completo del binario della shell, come mostrato qui sotto:

Puoi anche eseguire il comando in modalità non interattiva, con l’opzione -s seguita dal percorso del binario, in questo modo:

La maggior parte degli account ha una directory home definita. In Linux, questa è solitamente l’unico posto in cui un account utente ha garantito l’accesso in scrittura, con alcune eccezioni (per esempio aree temporanee del file system). Tuttavia, per motivi di sicurezza, alcuni account sono impostati appositamente per non avere alcun accesso in scrittura anche nella propria directory home.

Il file /etc/passwd è comunemente chiamato “file delle password”. Ogni riga contiene più campi sempre delimitati dal carattere due punti (:). Nonostante il nome, l’hash unidirezionale (one-way hash) delle password oggi non è più memorizzato in questo file.

La tipica sintassi di una riga in questo file è la seguente:

Dove:

Per esempio, la riga seguente descrive l’utente emma:

Il file /etc/group contiene campi, sempre delimitati da due punti (:), che memorizzano le informazioni di base sui gruppi nel sistema. A volte è chiamato “file dei gruppi”. La sintassi per ogni riga è la seguente:

Dove:

L’esempio seguente mostra una riga contenente informazioni sul gruppo students:

Non è necessario che un utente sia elencato nel campo dei membri quando il gruppo è il gruppo principale di quell’utente. Se un utente è elencato, allora è ridondante, cioè, non vi è alcun cambiamento nel funzionamento, che sia elencato o meno.

Il seguente elenco mostra gli attributi memorizzati nel file /etc/shadow, comunemente indicato come file shadow. Il file contiene un elenco di campi sempre delimitati da due punti (:). Sebbene abbia molti campi, la maggior parte di essi non rientra nell’ambito di questa lezione, a eccezione dei primi due.

La sintassi di base di una riga in questo file è la seguente:

Dove:

Nel seguente esempio puoi vedere una riga del file /etc/shadow. Nota che alcuni valori, come INACTIVE ed EXPDATE non sono definiti.

L'“Epoca” di un sistema POSIX è la mezzanotte (0000), Universal Coordinate Time (UTC), di giovedì 1 gennaio 1970. La maggior parte delle date e degli orari POSIX sono espresse in secondi a partire dall'“Epoca” o nel caso del file /etc/shadow, in giorni trascorsi dall'“Epoca”.

Sebbene esistano diverse soluzioni di autenticazione, il metodo base di memorizzazione delle password è la funzione di hash unidirezionale. Questa viene fatta in modo tale che la password non venga mai memorizzata in chiaro su un sistema, poiché la funzione di hashing non è reversibile. Puoi trasformare una password in un hash, ma (idealmente) non è possibile trasformare un hash in una password.

Al massimo, è richiesto un metodo di forza bruta per eseguire l’hash di tutte le combinazioni di una password, fino a quando una non corrisponde. Per cercare di limitare il problema che l’hash di una password venga violato su un sistema, i sistemi Linux utilizzano un salt casuale per ogni hash della password di un utente. Quindi l’hash di una password utente su un sistema Linux generalmente non sarà lo stesso di un altro sistema Linux, anche se la password è la stessa.

Nel file /etc/shadow, la password può assumere diverse forme, tra cui le seguenti:

La funzione di hash, l’hash salt e l’hash string sono preceduti e delimitati dal simbolo dollaro ($). La lunghezza dell’hash salt deve essere compresa tra otto e sedici (8-16) caratteri. Ecco tre dei più comuni esempi:

Dal punto di vista degli obiettivi e dell’esame LPI Linux Essentials, è sufficiente comprendere che l’hash della password di un utente locale è memorizzato nel file /etc/shadow che può essere letto solamente da selezionati servizi di autenticazione o modificato dal superuser utilizzando altri comandi.