---
tags: 1101_lsa
---

# 鎖定使用者 in Linux

- 有很多種讓使用者體感上覺得自己被鎖定的方式
- 但 linux 中，鎖定的方式卻有不同的用意
- 只鎖定使用者的密碼
- 直接鎖定使用者

:::success
**前情提要**
- 查看此主機中，有哪些使用者帳號及其資訊
- /etc/passwd
- 雖然 `/etc/passwd` 有一個密碼欄位，但實際上存密碼的地方
- /etc/shadow
:::

## 密碼欄位

### `/etc/passwd`
- `x`
- 密碼存在 /etc/shadow 裡
- 會自動幫你到 /etc/shadow 比對密碼

:::info
**linux 找密碼的順序**
- 先找 `/etc/passwd` 如果密碼欄位是 `x`，則到 `/etc/shadow` 找密碼
:::

### `/etc/shadow`
- `{$加密演算法$salt$密文}`
- 這個使用者加密過後的密碼
:::info
**salt**
- Why we need that ?
- 彩虹表的鍋
:::spoiler 小故事
- 加密技術雖然越來越強，密碼被暴力破解的難度提升，但道高一尺魔高一丈，有一張神奇的表，叫做彩虹表，簡單來說就是可以幫你找出雜湊前的密碼長甚麼樣子，而且速度還比暴力破解快
:::
- 在密碼中加入 salt (鹽巴) 讓原本的密碼走味，這樣別人就猜不到這個你原先的密碼是甚麼
- 在密碼雜湊之前，先在密碼中特定位置塞入隨機字串再進行雜湊。
- 增加暴力破解的難度。
- 就算不幸被破解，破解者得到的字串也不是你原先的密碼 (而是加過鹽的密碼)
:::warning
- 原先密碼
- abcdefg
- 加鹽 (123)
- abcdefg**123**
- ab**1**cd**2**ef**3**g
:::
:::
- ` `
- 沒有密碼
- `passwd` 可以直接新增密碼
- `!` 及 `!!`
- 此帳號的密碼被鎖定
- 原本有密碼，但被 lock 住
- `*`
- 此帳號無預設密碼
- 一開始建立此帳號時，就沒有密碼
:::info
**小 demo**
- `sudo adduser ttt`
- 不打密碼
- `sudo adduser --disabled-password ttt1`
- `sudo cat /etc/shadow`
:::

:::danger
**不能用密碼登入 不代表那個使用者不能用**
- `!` `*` 只是代表這個使用者不能透過 password authentication 的方式登入系統
- 用 **key-based authentication** 跟 **switching user** 依然可以讓這個使用者登入系統
:::

## Demo

:::success
**首先先建一個新的使用者**
- `sudo adduser test`
- `cat /etc/passwd`
- `sudo cat /etc/shadow`
:::

- `sudo passwd -l test`
- in `test`
- `passwd -S` 看狀態
- 
- L : 密碼被 Lock 住了
- `sudo cat /etc/shadow`
- `test` 的密碼欄位開頭被加入 `!`
- `passwd test` 沒辦法改密碼
- 
- 但是在鎖住的過程還是可以用以下兩種方式，登入系統
- key-base 認證遠端連線
- `ssh-copy-id /home/keke/.ssh/id_rsa.pub test@127.0.0.1`
- `ssh -v test@127.0.0.1`
- root 切換使用者
- `sudo su - test`
- `sudo passwd -u test`
- in `test`
- `passwd -S` 看狀態
- 
- P : 有可用的 Password
- `passwd test` 可以改密碼了
- `usermod` 也可以達到一樣的效果
- `usermod` 修改使用者帳號的各項資訊
- `sudo usermod -L test`
- `sudo usermod -U test`

### 如何把這個帳號鎖定的滴水不漏
- 將該帳號的 bash 設成 `/sbin/nologin`
- 會友善地告訴你不能登入喔，然後狠狠的把你拒之門外
- `sudo usermod -s /sbin/nologin test`
- 使用 **key-base 認證** 或 **切換使用者** 都無法登入這個帳號
- `sudo usermod -s /bin/bash test`
- 直接讓這個帳號過期
- `chage` 主要用來更改使用者帳號或密碼的期限
- `sudo chage -l test`
- 看一下狀態
- `sudo chage -E 0 test`
- `-E {天數}` : 設定帳號從 1970-01-01 開始算 {天數} 後過期
- 天數為 0 則立即過期，-1 則永遠不會過期
- 使用 **key-base 認證** 或 **切換使用者** 都無法登入這個帳號
- `sudo chage -E -1 test`

<!-- :::info
**參考資料**
- https://stackoverflow.com/questions/24105498/what-do-and-mean-in-the-password-section-in-etc-shadow
- https://linuxize.com/post/etc-shadow-file/
- https://dywang.csie.cyut.edu.tw/dywang/linuxSystem/node58.html
- https://blog.gtwang.org/linux/linux-passwd-command-examples/
- https://zhuanlan.zhihu.com/p/71834401
::: -->