Skróty (hasze) haseł użytkowników w systemie Linux przechowywane są w pliku
A. /etc/passwd
B. /etc/group
C. /etc/shadow
D. /etc/shells
W systemach Linux skróty, czyli hasze haseł użytkowników, przechowywane są w pliku /etc/shadow. To jest właśnie właściwe miejsce, bo plik ten ma dużo bardziej ograniczone uprawnienia niż /etc/passwd. Zwykle może go czytać tylko administrator root oraz wybrane procesy systemowe odpowiedzialne za uwierzytelnianie. Dzięki temu zwykły użytkownik nie może po prostu podejrzeć listy hashy i próbować ich łamać offline, np. słownikiem haseł. W praktyce wpis w /etc/shadow zawiera nazwę użytkownika, zaszyfrowany skrót hasła, informacje o wieku hasła, dacie ostatniej zmiany, czasie ważności i blokadzie konta. Można tam spotkać hasze oznaczone np. algorytmami typu SHA-512, yescrypt albo innymi mechanizmami zależnie od konfiguracji PAM i dystrybucji. Moim zdaniem to jeden z ważniejszych plików do kojarzenia przy administracji Linuksem, bo łączy temat kont użytkowników, bezpieczeństwa i polityki haseł. Dobra praktyka jest taka, żeby nie edytować go byle jak zwykłym edytorem, tylko używać narzędzi typu passwd, chage, usermod albo vipw -s, bo pomyłka w składni może utrudnić logowanie do systemu.
W tym pytaniu łatwo pomylić kilka plików konfiguracyjnych, bo wszystkie leżą w katalogu /etc i dotyczą w pewnym sensie użytkowników albo środowiska pracy. Jednak skróty haseł nie są przechowywane ani w /etc/shells, ani w /etc/group, ani we współczesnych systemach bezpośrednio w /etc/passwd. Plik /etc/shells zawiera listę powłok uznawanych przez system za poprawne, na przykład /bin/bash, /bin/sh czy /usr/bin/zsh. Jest używany między innymi przy sprawdzaniu, czy dana powłoka może być ustawiona użytkownikowi. Nie ma tam żadnych hashy haseł, więc kojarzenie go z logowaniem jest trochę za szerokie. /etc/group opisuje grupy systemowe, ich identyfikatory GID i członków grup. To ważne przy uprawnieniach do plików i usług, ale nie przy przechowywaniu haseł użytkowników. /etc/passwd jest najbardziej mylący, bo historycznie rzeczywiście zawierał dane potrzebne do logowania, a sama nazwa sugeruje hasła. Obecnie znajduje się tam głównie nazwa konta, UID, GID, katalog domowy i powłoka, a w miejscu hasła najczęściej jest znak x. Ten znak oznacza, że właściwy hash przeniesiono do /etc/shadow. Z mojego doświadczenia to typowy błąd uczniów: widzą nazwę passwd i automatycznie wybierają ten plik, nie zwracając uwagi na mechanizm shadow passwords. W praktycznej administracji trzeba pamiętać, że /etc/passwd jest zwykle czytelny dla wielu użytkowników, bo system potrzebuje z niego podstawowych informacji o kontach. Gdyby trzymać tam hashe haseł, bezpieczeństwo byłoby dużo słabsze. Dlatego poprawną odpowiedzią jest /etc/shadow, chroniony restrykcyjnymi uprawnieniami i używany przez mechanizmy uwierzytelniania Linuksa.