שלום רב!
הייתי מאוד מעוניין לדעת היכן בדיוק במערכת הקבצים המקומית מוחזקות סיסמאות המשתמשים והרוט, וכיצד הן מוגנות?

הקובץ נמצא בד"כ ב:

קוד:

/etc/passwd

עד כמה שידוע לי יש בו שדה של הססמא המוצפנת. ברב ההפצות (לפחות במעטות שאני ראיתי)משתמשים במשהו שנקרא Shadow File , כלומר בקובץ passwd מופיע X בשדה הססמא. ואילו הססמאות המוצפנות נמצאות ב:

קוד:

/etc/shadow

לגבי ההצפנה - ממה שאני זוכר, משתמשים בפונקציה לא הופכית או משהו כזה - פונציה שכל לחשב אותה אבל קשה או לא אפשרי לחשב את ההופכית לה .
כלומר, כאשר המשתמש מגדיר את הססמא היא ממורת למחרוזת אחרת לאחר ששורשר אליה איזה שהוא קבוע. ואז,בתהליך הlogin מה שמקליד המשתמש מוזן לאותה פונקציה ומשווים בינו לבין מה שמופיע בshadow.

לגבי כל האמור בפסקה האחרונה אני לא בטוח. כי אני לא זוכר בדיוק אפה קראתי את זה.


בנוגע להגנה - בד"כ הקבצים האלה ניתנים לקריאה ע"י כולם.

קובץ /etc/shadow ניתן לקריאה על ידי root בלבד. בעבר באמת היה ניתן לקרוא קובץ זה על ידי כולם מה שהביא לכך שניתן היה "באלימות" למצוא סיסמה המחזירה את המחרוזות המוצפנות וכך לקבל הרשראות של משתמש על.

Ender :

הקובץ נמצא בד"כ ב: קוד: /etc/passwd עד כמה שידוע לי יש בו שדה של הססמא המוצפנת. ברב ההפצות (לפחות במעטות שאני ראיתי)משתמשים במשהו שנקרא Shadow File , כלומר בקובץ passwd מופיע X בשדה הססמא. ואילו הססמאות המוצפנות נמצאות ב: קוד: /etc/shadow לגבי ההצפנה - ממה שאני זוכר, משתמשים בפונקציה לא הופכית או משהו כזה - פונציה שכל לחשב אותה אבל קשה או לא אפשרי לחשב את ההופכית לה . כלומר, כאשר המשתמש מגדיר את הססמא היא ממורת למחרוזת אחרת לאחר ששורשר אליה איזה שהוא קבוע. ואז,בתהליך הlogin מה שמקליד המשתמש מוזן לאותה פונקציה ומשווים בינו לבין מה שמופיע בshadow. לגבי כל האמור בפסקה האחרונה אני לא בטוח. כי אני לא זוכר בדיוק אפה קראתי את זה. בנוגע להגנה - בד"כ הקבצים האלה ניתנים לקריאה ע"י כולם.

בגדול אמרת הכל.....

רק נדייק...
רשימת המשתמשים במערכת כולל השיוך שלהם לקבוצות ( groups (, מיקום ספריות הבית שלהם וה shell שלהם נמצא בקובץ etc/passwd/.
קובץ זה פתוח לקריאה על ידי כל המשתמשים במערכת.

הסיסמאות עצמן מאוכסנות בקובץ מקביל שנראה etc/shadow/ אשר לא פתוח לקריאה לכלל המשתמשים ומכיל בתוכו את הסיסמאות שעברו md5. התוצאה הינה מחרוזת אשר איננה מאפשרת ביצוע תהליך הופכי על מנת לזהות את הסיסמא המקורית דבר שמגן על הסיסמא המקורית.
כאשר מתבצע תהליך בדיקת סיסמאות, מקליד המשתמש את הסיסמא אשר מועברת דרך md5 והמחרוזת המתקבלת מושווה למחרוזת שב shadow. אם התוצאה זהה אז הסיסמא נכונה. קיימים מספר מנגנונים אשר מבצעים את האימותים הנ"ל במערכת עבור צרכים שונים אשר לא נרחיב עליהם את הדיבור בשלב זה

הדבר הבא גם רלוונטי:

קוד:

man 3 crypt