Linux Shadow 密码：系统安全的基石
在 Linux 系统中，用户密码的安全存储是系统安全的核心环节，早期，Linux 将用户密码信息直接存储在 /etc/passwd 文件中，明文密码的哈希值与用户信息共同存放，存在严重的安全隐患，为解决这一问题，Shadow 密码机制应运而生，它通过将密码哈希值从 /etc/passwd 分离至 /etc/shadow，大幅提升了系统安全性。
Shadow 密码机制的原理
Shadow 密码的核心思想是“权限分离”。/etc/passwd 文件存储用户的基本信息（如用户名、UID、家目录等），但不再包含密码哈希；而 /etc/shadow 文件则专门用于存储加密后的密码及相关安全策略，这种设计确保了普通用户无法直接访问密码哈希，只有具备 root 权限的管理员才能查看，从而降低了密码泄露的风险。
/etc/shadow 文件的每一行对应一个用户，字段之间用冒号分隔，主要包括：用户名、密码哈希、上次修改密码的时间、最小密码有效期、最大密码有效期、密码过期警告时间、账户过期时间以及预留字段，密码哈希字段以 符号开头，标识不同的加密算法（如 $1 表示 MD5，$6 表示 SHA-512），后续字符为盐值和密码的哈希值组合。
密码哈希与加密算法
Shadow 密码的安全性依赖于强大的加密算法，早期 Linux 系统使用 DES 算法（$1），但因其计算能力不足，现已逐渐淘汰，现代 Linux 发行版普遍采用 SHA-512 算法（$6），其哈希值长度为 86 个字符，计算复杂度高，能有效抵御暴力破解，盐值的引入进一步增强了安全性——每个用户的密码都搭配唯一的随机盐值，即使两个用户设置相同密码，其哈希值也完全不同，避免了彩虹表攻击。
密码策略与账户管理
Shadow 密码机制还支持灵活的密码策略，通过 /etc/shadow 中的字段实现强制密码更新周期、过期提醒等功能。
- 上次修改时间：记录自 1970 年 1 月 1 日以来的天数，用于追踪密码更新周期。
- 最小/最大有效期：限制用户在短期内不能修改密码（最小有效期），或强制用户在规定时间内更换密码（最大有效期）。
- 过期警告时间：在密码即将过期前提醒用户更新。
- 账户过期时间：设置账户的失效日期，适用于临时账户或权限管理。
这些策略可通过 chage 命令动态调整，chage -M 90 username 可将用户密码的最大有效期设为 90 天。
安全实践与注意事项
尽管 Shadow 密码机制提供了较高的安全性，但仍需结合其他安全措施确保系统安全：
- 定期更新密码：通过
passwd命令或chage强制用户定期更换密码，避免长期使用弱密码。 - 限制 root 登录：禁止直接以 root 身份远程登录，改用
sudo提权，减少密码泄露风险。 - 文件权限控制：确保
/etc/shadow仅对 root 可读，避免其他用户或程序越权访问。 - 启用双因素认证：结合 SSH 密钥或一次性密码（OTP）增强登录验证。
Linux Shadow 密码机制通过分离密码存储、采用强加密算法和灵活的策略管理，为系统安全提供了坚实保障，作为系统管理员，理解其工作原理并合理配置密码策略，是防范未然、保护用户数据的关键一步，在日常运维中，结合安全审计与定期维护，才能充分发挥 Shadow 密码的防护效能，构建更加安全的 Linux 环境。
