Sécurité : Module pam_unix - Mode "shadow"

[dezix]

Bonjour,

J'ai 3 questions à propos du module pam_unix aux quelles je ne parviens à trouver dans la doc de réponses sans équivoque :

• Le mode shadow est-il systématiquement activé à l'installation de Debian stable actuelle (10) ?
• Existe-il une commande pour vérifier que le mode shadow est bien en usage ?
• Inspecter le contenu de /etc/passwd et /etc/shadow est-il suffisant pour s'en assurer ?

Merci.

[dezix]

J'ai une autre question sur le fichier /etc/shadow

Sous Debian par défaut on a :

Code : Tout sélectionner

# ls -lh /etc/shadow 
-rw-r----- 1 root shadow 1,1K sept. 24 13:16 /etc/shadow

Dans un tuto sur l'audit de sécurité d'un serveur sous CentOS,
on a :

Code : Tout sélectionner

# ls -lh /etc/shadow 
---------- 1 root shadow 1,1K sept. 24 13:16 /etc/shadow

Sous Debian j'ai testé :

Code : Tout sélectionner

# chmod 0000 /etc/shadow
# ls -lh /etc/shadow 
---------- 1 root shadow 1,1K sept. 24 13:16 /etc/shadow

# cat /etc/shadow
root:$6$bp.w9YQQSkCw61P/$NJ9VDKC9qWoMNDC2mmBJ/8Bd6nR4HwBOmNZFFl/RwFH/QwiXE8TyKfhsn9151TK6AxovVNnYgkidTCtlnMXPs0:18529:0:99999:7:::
daemon:*:18509:0:99999:7:::
bin:*:18509:0:99999:7:::
sys:*:18509:0:99999:7:::
sync:*:18509:0:99999:7:::
games:*:18509:0:99999:7:::
...

J'ai aussi vérifié que les utilisateurs non-root peuvent encore modifier leur MdP -> ok!

Ce qui me pose 2 questions :

1. Pourquoi Debian donne des droits sur /etc/shadow ou Y-a-t-il une bonne raison pour ne pas passer /etc/shadow en 0000 ?

2. C'est plus une remarque, je m'étonne que root ait encore accès en lecture (et en écriture) sur un fichier avec des permissions à 0000