Veröffentlichung von shadow-utils 4.19, wobei der Mechanismus zur Begrenzung der Gültigkeitsdauer von Passwörtern als veraltet anerkannt wurde.

Die Version des Shadow-Utils-Toolkits 4.19.0 ist verfügbar. Sie enthält Dienstprogramme zum Verwalten von Benutzer- und Gruppenanmeldeinformationen sowie zur Speicherung von Passwörtern in einer separaten Datei /etc/shadow, die nur für den Benutzer root und die Gruppe shadow zugänglich ist. Zu den enthaltenen Dienstprogrammen gehören useradd, userdel, usermod, pwconv, groupadd, groupdel, groupmod, pwunconv, pwck, lastlog, su und login. Der Quellcode des Toolkits ist in C geschrieben und unter der BSD-Lizenz verfügbar.

Die neue Version ist bemerkenswert durch die Ankündigung der veralteten Funktionalität, die Benutzer dazu zwingt, ihr Passwort nach Ablauf einer bestimmten Zeit zu ändern. Moderne Studien haben gezeigt, dass der Sicherheitsgewinn durch die regelmäßige Passwortänderung gering ist, und das Zwingen zur Änderung von Passwörtern führt dazu, dass Benutzer vorhersehbare Muster verwenden. Der 2025 genehmigte Standard NIST SP 800-63B-4 empfiehlt nicht, die Lebensdauer von Passwörtern zu beschränken. Zu den veralteten Optionen gehören „-k“ (—keep-tokens), „-n“ (—mindays), „-x“ (—maxdays), „-i“ (—inactive) und „-w“ (—warndays), sowie die Flags PASS_MIN_DAYS, PASS_MAX_DAYS, PASS_WARN_AGE, INACTIVE, sp_lstchg, sp_min, sp_max, sp_warn und sp_inact. Es gibt derzeit keine Pläne zur Entfernung dieser Optionen und Flags, es geht nur um deren Kennzeichnung als veraltet.

Weitere wesentliche Änderungen in der neuen Version:

• Die Verwendung von Escape-Zeichen für Zeilenumbrüche in Konfigurationsdateien ist untersagt.
• Die Unterstützung für SHA-1-Hashes wurde als veraltet erklärt; in der nächsten Version wird die Option ‚—with-sha-crypt‘ entfernt.
• Die Programme groupmems und logoutd wurden als veraltet eingestuft und sind für die Entfernung in zukünftigen Versionen geplant.
• Die Nutzung bestimmter gefährlicher Benutzernamen und Gruppen wurde blockiert, unabhängig vom Status der Option „—badname“. Zum Beispiel sind Namen, die mit „-“ beginnen oder Steuerzeichen wie „#:;,\/“ und verschiedene Arten von Anführungszeichen enthalten, betroffen.

Quelle: opennet.ru