Unix-Linux, Eine Einführung von Wolfgang Paulina (de)

2. Erste Schritte 13
2.2. Passwörter
Benutzer-Accounts auf Unix-Rechner sind grundsätzlich passwortgeschützt. Passwörter dürfen nicht an
andere Personen weitergegeben werden. Ausserdem ist darauf zu achten, dass das Passwort in bestimmten
Zeitabständen geändert wird.
Bei der Wahl eines Passworts muss wie bei den Dateinamen auf Groß- und Kleinschreibung geachtet werden.
Das Passwort sollte nicht weniger als 6 Zeichen besitzen. Eine Kombination von Buchstaben, Ziffern
und Sonderzeichen ist empfehlenswert. Die Zeichen @, $, # und ! können, aber sollten nicht unbedingt
verwendet werden. Ferner sollte auf nicht sichtbare Zeichen verzichtet werden.
Das Ändern eines Unix-Passworts erfolgt in der Regel mit dem Kommando passwd. Diese Möglichkeit
der Passwortänderung beschränkt sich allerdings auf Einzelplatz- oder Standalone-Systeme. Oft werden
mehrere Rechner zu einer Verwaltungseinheit, einer sog. Domain, zusammengefasst. Die meisten
Unix/Linux-Rechner an der Universität Regensburg sind in solch einer Domain integriert. Die Verwaltung
der Benutzer-Accounts und damit auch der Passwörter wird daher über einen Namensdienst abgewickelt.
Die unter Unix bekanntesten Namensdienste sind NIS, NIS+ und LDAP. Das Kommando zum Ändern des
Passwortes hängt vom installierten Namensdienst ab.
An der Uni Regensburg wird auf allen Unix/Linux-Rechnern der campusweiten Unix-Domäne das Kommando
nispasswd zum Ändern des Passworts verwendet. Als Namensdienst wird also NIS+ eingesetzt.
rechner> nispasswd
Old password: oldpassword
New password: newpassword
Verification: newpassword
Nach einer kurzen Zeit ist das neue Passwort auf allen Rechnern der Domäne gültig. Obiger Hinweis
ist sehr wichtig. Nach einer Passwortänderung wird diese Modifikation auf alle vorhandenen NIS+Server
repliziert. Dieser Replikations-Vorgang benötigt natürlich eine gewisse Zeit, und diese Zeit sollte erst verstreichen,
bevor der Benutzer sich erneut in einen Unix-Rechner einloggt. Wird dies nicht beachtet, kann es
dazu kommen, dass der Benutzer sich nicht mehr einloggen kann. Eine 5-minütige Wartezeit sollte daher
eingehalten werden.
Der Namensdienst NIS+ besitzt umfangreiche Möglichkeiten, den Zugriff auf sog. NIS+Objekte zu regeln.
Das bedeutet, dass eine korrekte Autorisierung gegenüber NIS+ nur durch die explizite Angabe des
Passworts beim Login erreicht wird. Wird ein Login mittels public-key-Verfahren initiiert, so ist danach
der Benutzer zwar im Unix-System eingeloggt, im NIS+Namensdienst ist er aber nicht ordnungsgemäß angemeldet
(session-key fehlt). Als Konsequenz kann der Benutzer in dieser Situation sein Passwort nicht
ändern. Eine nachträgliche Autorisierung gegenüber NIS+ erfolgt mit dem Kommando keylogin. Dabei
muss nochmals das Login-Passwort eingegeben werden.
Neben dem Unix-Passwort kann ein Benutzer noch über weitere Passwörter verfügen. So erfordert der oben
geschilderte samba-connect das einmalige Setzen des sog. Samba-Passworts. Auch beim Login in einen
MS-Windows-Rechner wird ein anderes Passwort verwendet, das sog. NDS-Passwort. Bei der Änderung
eines dieser drei Passwörter werden nicht gleichzeitig die anderen Passwörter geändert.