Die Veröffentlichung von shadow-utils 4.19 erkennt das Mechanismus der zeitlichen Begrenzung von Passwörtern als veraltet an.

Die Version 4.19.0 des Tools shadow-utils ist jetzt verfügbar und enthält Programme zur Verwaltung von Benutzer- und Gruppenanmeldedaten sowie zur Speicherung von Passwörtern in einer separaten Datei /etc/shadow, die nur für den Benutzer root und die Gruppe shadow zugänglich ist. Zu den enthaltenen Programmen gehören useradd, userdel, usermod, pwconv, groupadd, groupdel, groupmod, pwunconv, pwck, lastlog, su und login. Der Code des Tools ist in C geschrieben und wird unter der BSD-Lizenz veröffentlicht.

Die neue Version zeichnet sich durch die Ankündigung der obsoleten Funktionalität aus, die Benutzer zwingt, ihr Passwort nach einer bestimmten Zeit zu ändern. Aktuelle Forschungen haben gezeigt, dass der Sicherheitsgewinn durch die regelmäßige Passwortänderung gering ist, und das Zwingen zu Änderungen führt dazu, dass Benutzer vorhersehbare Muster verwenden. Der im Jahr 2025 genehmigte Standard NIST SP 800-63B-4 empfiehlt nicht, die Lebensdauer von Passwörtern zu beschränken. Zu den obsoleten Optionen gehören «-k» (—keep-tokens), «-n» (—mindays), «-x» (—maxdays), «-i» (—inactive) und «-w» (—warndays) sowie die Flags PASS_MIN_DAYS, PASS_MAX_DAYS, PASS_WARN_AGE, INACTIVE, sp_lstchg, sp_min, sp_max, sp_warn und sp_inact. Aktuell sind keine Pläne zur Entfernung dieser Optionen und Flags vorgesehen, es handelt sich nur um eine Kennzeichnung als obsolet.

Zu weiteren wesentlichen Änderungen in der neuen Version:

• Die Verwendung von Escape-Zeichen für Zeilenumbrüche in Konfigurationsdateien ist verboten.
• Die Unterstützung für SHA-1-Hashes wurde als obsolet erklärt, im nächsten Release wird die Option ‘—with-sha-crypt’ entfernt.
• Die Programme groupmems und logoutd wurden in die Kategorie obsolet und für eine zukünftige Entfernung eingeordnet.
• Es wurde eine Blockierung der Verwendung bestimmter unsicherer Benutzernamen und Gruppennamen implementiert, unabhängig vom Status der Option «—badname». Zum Beispiel Namen, die mit «-» beginnen oder Sonderzeichen wie «#:;,/» und verschiedene Formen von Anführungszeichen enthalten.

Quelle: opennet.ru