Смена пароля в Unix и Linux — как использовать команду passwd

Зачем нужен пароль и где работает passwd

Пароль — первый рубеж защиты доступа к учётной записи. В Unix-подобных системах за управление паролями отвечает утилита passwd. Она работает с системными базами (обычно /etc/shadow и /etc/passwd) и применяет политики, заданные администратором: минимальная длина, история паролей, срок жизни и т.д.

Кратко: passwd меняет хэш пароля в системной базе и может проверять политику сложности при помощи PAM-модулей (Pluggable Authentication Modules).

Важно: сама команда не хранит пароль в открытом виде — система сохраняет его в виде хэша. Правильная конфигурация PAM и права доступа к файлам /etc/shadow критичны для безопасности.

Что делает команда passwd

• Меняет текущий пароль пользователя (по умолчанию).
• Позволяет root изменить пароль любого пользователя.
• Работает совместно с PAM для проверки политики паролей.

Определение в одну строку: passwd — стандартная утилита для изменения паролей пользователей в Unix-подобных системах.

Как изменить собственный пароль

Откройте терминал (например, сочетанием Ctrl+Alt+T) и введите:

passwd

Система запросит текущий пароль, затем новый пароль и подтверждение нового пароля:

(current) UNIX password:
Enter new UNIX password:
Retype new UNIX password:
passwd: password updated successfully

При вводе символы не отображаются — это предотвращает подглядывание.

Как переключиться на root и сменить root-пароль

Для перехода на root введите:

su -

Затем введите пароль root. Когда вы стали root, выполните:

passwd

Это изменит пароль root. Альтернатива в системах с sudo:

sudo passwd root

Как изменить пароль другого пользователя (для администратора)

Если вы — root или пользователь с sudo, можно изменить пароль конкретного аккаунта:

passwd username

Система запросит новый пароль для username и его подтверждение.

Управление паролями и лучшие практики

• Используйте длинные уникальные пароли или фразы-пароли.
• Включите политику сложности через PAM (pam_pwquality или pam_cracklib).
• Ограничьте попытки входа, чтобы снизить риск брутфорса.
• Храните хэши в /etc/shadow (файл должен иметь права доступа, читаемые только root).
• Рассмотрите добавление двухфакторной аутентификации (2FA) для удалённых сервисов.

Когда passwd не подходит

• Сценарии массового управления паролями (много пользователей) требует автоматизации (см. раздел «Альтернативы»).
• В централизованных средах, где используется LDAP/Active Directory, изменения паролей лучше делать через соответствующий сервис, а не локально.

Альтернативные подходы

• LDAP/AD: централизованное управление учётными записями и паролями.
• Инструменты конфигурации: Ansible, Puppet, Chef для массовой смены или политики паролей.
• ssh-ключи для удалённого доступа вместо паролей — устраняют многие риски, связанные с угадыванием пароля.

Как проверить и изучить опции passwd

Для подробной справки используйте man:

man passwd

Также проверьте конфигурацию PAM, например в /etc/pam.d/common-password (пути зависят от дистрибутива).

Мини-методология: безопасная смена пароля в 6 шагов

1. Подготовьте складной или менеджер паролей для генерации сильной фразы.
2. Откройте терминал и подтвердите свою личность (введите текущий пароль или используйте sudo/su).
3. Выполните passwd или passwd username.
4. Убедитесь, что новый пароль удовлетворяет политике сложности.
5. Протестируйте вход в систему или сервис.
6. Запишите событие смены в журнал изменений (для администраторов).

Ролевые чек-листы

Администратор:

• Проверить PAM-конфигурацию;
• Убедиться в корректных правах на /etc/shadow;
• Использовать sudo или su, а не постоянный логин под root;
• Логировать изменения паролей.

Обычный пользователь:

• Выбирать уникальную фразу-пароль;
• Никому не сообщать пароль;
• При подозрении на компрометацию сразу сменить пароль.

Тест-кейсы для проверки изменения пароля

1. Смена пароля обычным пользователем: ввести текущий, затем новый — ожидать успешное обновление и возможность входа с новым паролем.
2. Попытка смены с несовпадающим подтверждением — ожидать ошибку.
3. Администратор меняет пароль другого пользователя — после смены пользователь может войти с новым паролем.
4. Попытка просмотра /etc/shadow обычным пользователем — доступ должен быть запрещён.

Критерии приёмки

• Пароль успешно обновлён и обеспечивает вход в систему.
• Новая запись хэша появилась в /etc/shadow и доступна только root.
• Политики сложности и история паролей (если настроены) не нарушены.

Глоссарий (одно предложение на термин)

• PAM: модульная система аутентификации, которая позволяет конфигурировать правила проверки пароля.
• root: учётная запись администратора с полными привилегиями в Unix-системах.
• /etc/shadow: файл, где хранятся хеши паролей и связанные параметры учётных записей.

Краткое резюме

Команда passwd остаётся простым и безопасным инструментом для смены паролей в Unix и Linux. Для корпоративных или централизованных сред используйте LDAP/AD или средства автоматизации. Не забывайте про PAM, права доступа к системным файлам и современные практики: длинные пароли, 2FA и регулярные проверки.

Важно: всегда тестируйте изменения паролей в контролируемой среде и документируйте административные операции.