Linux Essentials//Die Einsteiger-Zertifizierung des LPI - Linup Front ...

188 13 Benutzerverwaltung
Kennwort Das verschlüsselte Kennwort des Benutzers. Ein leerer Eintrag bedeutet
in der Regel, dass der Benutzer sich ohne Kennwort anmelden kann. Steht
hier ein Stern oder ein Ausrufungszeichen, kann der betreffende Benutzer
sich nicht anmelden. Es ist auch üblich, Benutzerkonten zu sperren, ohne sie
komplett zu löschen, indem man einen Stern oder ein Ausrufungszeichen
an den Anfang des zugehörigen Kennworts setzt.
Änderung Das Datum der letzten Änderung des Kennworts, in Tagen seit dem
1. Januar 1970.
Min Minimale Anzahl von Tagen, die seit der letzten Kennwortänderung vergangen
sein müssen, damit das Kennwort wieder geändert werden kann.
Max Maximale Anzahl von Tagen, die ein Kennwort ohne Änderung gültig bleibt.
Nach Ablauf dieser Frist muss der Benutzer sein Kennwort ändern.
Warnung Die Anzahl von Tagen vor dem Ablauf der ⟨Max⟩-Frist, an denen der
Benutzer eine Warnung erhält, dass er sein Kennwort bald ändern muss,
weil die maximale Anzahl abläuft. Die Meldung erscheint in der Regel beim
Anmelden.
Frist Die Anzahl von Tagen ausgehend vom Ablauf der ⟨Max⟩-Frist, nach der
das Konto automatisch gesperrt wird, wenn der Benutzer nicht vorher sein
Kennwort ändert. (In der Zeit zwischen dem Ende der ⟨Max⟩-Frist und dem
Ende dieser Frist kann der Benutzer sich anmelden, muss aber sofort sein
Kennwort ändern.)
Sperre Das Datum, an dem das Konto definitiv gesperrt wird, wieder in Tagen seit
dem 1. Januar 1970.
Kurz noch ein paar Anmerkungen zum Thema »Verschlüsselung von Kennwörtern«.
Man könnte auf den Gedanken kommen, dass die Kennwörter, wenn
sie verschlüsselt sind, auch wieder entschlüsselt werden können. Einem cleveren
Cracker, dem die Datei /etc/shadow in die Hände fällt, würden so sämtliche Benutzerkonten
des Systems offen stehen. Allerdings ist das in Wirklichkeit nicht so,
denn die »Verschlüsselung« der Kennwörter ist eine Einbahnstraße: Es ist nicht
möglich, aus der »verschlüsselten« Darstellung eines Linux-Kennworts die unverschlüsselte
zurückzugewinnen, da das verwendete Verfahren das wirkungsvoll
verhindert. Die einzige Möglichkeit, die »Verschlüsselung« zu »knacken«, besteht
darin, potenzielle Kennwörter zur Probe zu verschlüsseln und zu schauen, ob dasselbe
herauskommt wie das, was in /etc/shadow steht.
B Nehmen wir mal an, Sie wählen die Zeichen Ihres Kennworts aus den 95
sichtbaren Zeichen des ASCII (es wird zwischen Groß- und Kleinschreibung
unterschieden). Das bedeutet, es gibt 95 verschiedene einstellige
Kennwörter, 95 2 = 9025 zweistellige und so weiter. Bei acht Stellen sind
Sie schon bei 6,6 Billiarden (6, 6 ⋅ 10 15 ) Möglichkeiten. Angenommen, Sie
könnten 250.000 Kennwörter in der Sekunde zur Probe verschlüsseln (auf
heutiger Hardware absolut nicht unrealistisch). Dann müßten Sie rund
841 Jahre einkalkulieren, um alle Möglichkeiten durchzuprobieren.
B
Aber fühlen Sie sich nicht zu sicher. Das traditionelle Verfahren (meist
»crypt« oder »DES« genannt – letzteres, weil es ähnlich zu, aber nicht identisch
mit, dem gleichnamigen Verschlüsselungsverfahren ist 3 ) sollten Sie
nicht mehr verwenden, wenn Sie es vermeiden können. Es hat nämlich die
3 Wenn Sie es genau wissen müssen: Das Klartext-Kennwort fungiert als Schlüssel (!) zur Verschlüsselung
einer konstanten Zeichenkette (typischerweise einem Vektor von Nullbytes). Ein DES-Schlüssel
hat 56 Bit, das sind gerade 8 Zeichen zu je 7 Bit (denn das höchstwertige Bit im Zeichen wird ignoriert).
Dieser Prozess wird insgesamt fünfundzwanzigmal wiederholt, wobei immer die Ausgabe als neue
Eingabe dient. Genau genommen ist das verwendete Verfahren auch nicht wirklich DES, sondern an
ein paar Stellen abgewandelt, damit es weniger leicht möglich ist, aus kommerziell erhältlichen DES-
Verschlüsselungs-Chips einen Spezialcomputer zum Knacken von Kennwörtern zu bauen.
Copyright © 2012 Linup Front GmbH