Команды для управления паролями в Linux

В этой статье описаны ключевые команды Linux для управления паролями: как менять пароли, заставлять их истекать, блокировать аккаунты и проверять информацию о пользователях. Приведены практические рекомендации, чек-листы для ролей и советы по безопасности.

Терминал Linux с командой passwd на экране

Знание простых команд управления паролями в Linux — важная часть защиты многопользовательской системы. Ниже собраны основные команды, примеры использования и практические советы для администраторов и пользователей.

Как изменить свой пароль

Команда passwd — самая важная для смены пароля. Любой пользователь может сменить собственный пароль (если не заблокирован):

$ passwd

Система потребует ввести новый пароль дважды. Используйте надёжную фразу: минимум 12 символов, сочетание букв, цифр и символов.

Важно: при вводе пароля символы не отображаются.

Как изменить пароль другого пользователя

Администратор с правами root или через sudo может изменить пароль любого аккаунта. Это часто нужно после создания нового пользователя:

$ sudo useradd newuser
$ sudo passwd newuser

Если вы создаёте пользователя командой adduser (на Debian/Ubuntu), процесс может быть интерактивным и предложит задать пароль сразу.

Как изменить пароль root

Изменение пароля root выполняется так же, как для обычного пользователя. Можно войти под root и выполнить:

# passwd

Или использовать sudo и указать root как имя пользователя:

$ sudo passwd root

Заставить пользователя сменить пароль при следующем входе

Чтобы потребовать смены пароля при следующем логине, используйте опцию -e:

# passwd -e newuser

При следующем входе система запросит новый пароль и не позволит продолжить без его установки.

Блокировка и разблокировка аккаунта

Для временной или постоянной блокировки используйте флаг -l:

# passwd -l newuser

Блокировка делает вход невозможным даже с правильным паролем. Для восстановления доступа выполните разблокировку:

# passwd -u newuser

Просмотр информации об аккаунте с помощью finger

Команда finger показывает информацию об аккаунте: полное имя, каталог домашней папки, оболочку и время последнего входа. На некоторых системах finger не установлен.

Установка в Ubuntu/Debian:

$ sudo apt install finger

Использование:

# finger newuser

Если finger недоступен, можно получить похожую информацию из /etc/passwd или командой getent passwd newuser.

Управление сроком действия пароля с помощью chage

Команда chage показывает дату последней смены пароля и срок его истечения. Просмотр:

# chage -l newuser

Установка максимального срока жизни пароля (в днях):

# chage -M 90 newuser

Дополнительно можно задать минимальный срок, предупреждение о скором истечении и дату блокировки.

Альтернативные подходы

Использовать утилиты управления пользователями из системного инструментария дистрибутива (adduser vs useradd).
Управление паролями через LDAP/Active Directory для централизованной аутентификации в крупной инфраструктуре.
Использовать PAM-модули для тонкой настройки политик паролей (pam_pwquality, pam_tally2 для блокировок по неудачным попыткам).

Когда эти команды не сработают

Если учётная запись перенесена в централизованную систему (LDAP/AD), локальные passwd/chage не будут влиять на централизованные учётные записи.
Если filesystem монтирована как только для чтения, изменение локальных файлов паролей может быть невозможно.
В контейнерах и управляемых образах поведение root/паролей может отличаться.

Практическое руководство для администратора: мини-плейбук

Проверка нового пользователя:

$ sudo getent passwd newuser
$ sudo chage -l newuser

Назначение временного пароля и требование смены при первом входе:

$ sudo passwd newuser
$ sudo passwd -e newuser

Установка политики сроков паролей:

$ sudo chage -M 90 -m 7 -W 14 newuser

(Максимум 90 дней, минимум 7 дней, предупреждение за 14 дней.)

Блокировка при подозрении на компрометацию:

$ sudo passwd -l compromised_user

Чек-листы по ролям

Администратор:

Убедиться, что пользователи имеют минимально необходимые привилегии.
Настроить политику паролей в PAM.
Регулярно просматривать записи lastlog и неиспользуемые учётные записи.

Пользователь:

Выбирать надёжные пароли или фразы.
Использовать менеджер паролей для разных учётных записей.
Сменить пароль при первом логине, если ему назначен временный пароль.

Команда безопасности:

Настроить централизованную аутентификацию для корпоративной инфраструктуры.
Включить мониторинг неудачных попыток входа и оповещения.

Безопасность и жёсткая настройка

Включите многофакторную аутентификацию, если система или сервис поддерживает её.
Ограничьте доступ по SSH: запретите прямой вход под root, используйте ключи и отключайте аутентификацию по паролю, где возможно.
Настройте pam_tally2 или faillock для блокировки после нескольких неудачных попыток входа.
Используйте pam_pwquality или libpwquality для проверки сложности пароля.
Храните пароли и секреты в защищённых менеджерах (Vault, HashiCorp, специализированные KMS).

Совместимость и отличия между дистрибутивами

Команды passwd, chage и finger доступны в большинстве дистрибутивов, но пакеты и дополнительные утилиты могут отличаться.
Debian/Ubuntu использует adduser как более дружелюбный скрипт; RHEL/CentOS чаще применяют useradd прямо.
Менеджеры пакетов: apt vs yum/dnf. Примеры установки отличаются.

Ментальные модели и эвристики

Правило 3: регулярная смена пароля, сложность пароля, многофакторная аутентификация.
Принцип наименьших привилегий: не давайте root-доступ без необходимости.
Централизация vs локальность: централизованная аутентификация упрощает управление, но повышает критичность инфраструктуры.

Факты и числа для быстрой ориентации

Рекомендуемый минимум символов для фразы-пароля: 12.
Частые политики: максимум жизни пароля 60–90 дней; предупреждение за 7–14 дней.
Минимальный срок между сменами: 0–7 дней (в зависимости от политики безопасности).

Короткий глоссарий

passwd — утилита для смены пароля. chage — управление сроками действия пароля. finger — просмотр информации об учётной записи. PAM — модульная система аутентификации в Linux.

Важные заметки

Важно: никогда не пересылайте пароли по незащищённым каналам. При массовых изменениях паролей уведомляйте пользователей и планируйте откат.

Критерии приёмки

Новый пользователь может войти с назначенным паролем.
Пользователь, у которого выставлено требование смены пароля, обязан его сменить при следующем входе.
Заблокированный аккаунт не разрешает вход ни по паролю, ни по ключу (если настроена блокировка).

Часто задаваемые вопросы

Как восстановить доступ, если пользователь забыл пароль?

Если у вас есть root-доступ, можно сменить пароль командой sudo passwd username. В случае централизованной аутентификации восстановление производится через LDAP/AD.

Можно ли запретить вход для root через SSH?

Да. Отредактируйте /etc/ssh/sshd_config и установите PermitRootLogin no, затем перезапустите sshd.

Резюме

passwd, chage и finger — базовые команды для управления паролями и информацией об аккаунтах.
Администратору следует настраивать политику паролей через PAM и, по возможности, использовать централизованную аутентификацию.
Безопасность повышается за счёт MFA, сложных паролей и мониторинга неудачных попыток.

Короткий анонс для социальных сетей

Узнайте, как эффективно управлять паролями в Linux: смена паролей, принудительная смена, блокировка аккаунтов и управление сроками действия с помощью chage. Практические чек-листы и рекомендации по безопасности.