Shadow-Passwort
Unter dem Begriff Shadow-Password wird eine Methode zum Schutz von Passwörtern verstanden, die in vielen Unix-Systemen verwendet wird. Das Passwort wird dabei vor dem Zugriff durch unbefugte Benutzer geschützt, um das Brechen von zu schwachen Passwörtern durch Brute-Force- oder Wörterbuchangriffe zu verhindern.
Problemlage
Vor der Einführung von Shadow-Passwörtern wurden alle relevanten Benutzerdaten, also auch der Hashwert des Passworts, in einer Datei gespeichert. Diese Datei (/etc/passwd) musste für alle Benutzer zugänglich (lesbar) sein, um auch Anwendungsprogrammen – beispielsweise zur Anzeige von Dateirechten – das Auflösen von Benutzerkennungen zu Benutzernamen zu ermöglichen, und konnte dadurch leicht für Angriffe auf das System genutzt werden.
Lösung in Unix-Systemen
Die einfach erscheinende Lösung, Passwort-Hash und Nutzerdaten durch zwei separate Dateien voneinander zu trennen, erfordert innerhalb des Betriebssystems eine wirksame Trennung von Nutzerrechten und Systemrechten, da ein Zugriff auf die Passwort-Hashes durch unprivilegierte Nutzer, zum Beispiel bei der Anmeldung am System, möglich bleiben muss.
Erstmals wurde ein solches System von den Unix-Derivaten System V 3.2[1] und BSD 4.3 Reno verwendet.[2] Nutzer anderer Systeme blieben vorerst ausgeschlossen. Im Jahre 1987 entwickelte Julianne Frances Haugh die Shadow Password Suite, die ursprünglich die Befehle login, su und passwd enthielt.[3] Entwickelt wurde die Shadow Password Suite für SCO Xenix[4], aber bald auf andere Plattformen portiert, z. B. 1992 auf Linux.
Verbreitung
Inzwischen sind Shadow-Passwörter zum Standardverfahren im Unix- und Linuxbereich geworden. Damit wurde die im ursprünglichen Konzept von Unix enthaltene Sicherheitslücke erfolgreich geschlossen und der unbefugte Zugriff auf die Password-Hashes der Benutzer wirksam verhindert. Die Möglichkeit für einen normalen Nutzer, diese mit Hilfe von Brute-Force und Wörterbuchangriffen zu missbrauchen, ist eingeschränkt, wenn auch nicht unmöglich. Verschiedene netzwerkbasierende Authentifizierungssysteme, wie zum Beispiel Yellow Pages (YP) bzw. Network Information Service (NIS), übertragen die Passwort-Hashes über das Netzwerk und ermöglichen dem Angreifer einen unerlaubten Zugriff. Der Trend geht daher in die Richtung, stärkere Verschlüsselungsverfahren für die Passwörter zu verwenden.
Weblinks
- Shadow Password HOWTO (englisch)
shadow(5): Shadow-Passwortdatei – Debian GNU/Linux Dateiformate und Konventionen Handbuchseite