Le fichier /etc/shadow est une pièce maîtresse dans la gestion des mots de passe sous Linux, un peu comme la serrure invisible qui protège la porte d’entrée de votre maison numérique. Bien plus sécurisé que le fichier /etc/passwd, il stocke les mots de passe sous une forme cryptée, inexploitables au premier coup d’œil. Mais qu’y a-t-il vraiment derrière ce nom un peu mystérieux ? Entre format codé, algorithmes de hashage et règles de sécurité, comprendre son fonctionnement est un atout précieux, que vous soyez un utilisateur curieux ou un administrateur en herbe. Découvrez comment ce fichier protège efficacement vos accès et ce qu’il cache dans ses lignes chiffrées.
L’article en bref
Plongez dans l’univers du fichier /etc/shadow, garant de la sécurité des mots de passe sur Linux, avec un décryptage de son format et son rôle dans l’authentification.
- Gardien des accès : Le fichier /etc/shadow stocke les mots de passe cryptés
- Format décodé : Chaque ligne contient neuf champs aux rôles précis
- Permissions strictes : Accès limité à root et groupe shadow pour la protection
- Outils associés : Commandes passwd et chage pour gérer mots de passe
Maîtriser ce fichier, c’est s’approprier un pilier essentiel de la sécurité Linux.
Qu’est-ce que le fichier /etc/shadow et pourquoi est-il crucial sur Linux ?
Sur toutes les distributions Linux modernes, du classique Debian à l’efficace Rocky Linux, le fichier /etc/shadow est l’élément de confiance pour la gestion sécurisée des mots de passe. Contrairement au fichier /etc/passwd qui liste les utilisateurs mais expose des données peu sensibles, /etc/shadow rassemble en toute discrétion les mots de passe hachés, c’est-à-dire rendus illisibles sans la clé. Ce choix de séparation vise à prévenir tout accès malveillant, un principe de base pour la sécurité informatique en 2026.
Propriété de l’utilisateur root et du groupe shadow, ce fichier bénéficie de permissions très restrictives, souvent notées 640, ce qui signifie qu’à part le superutilisateur et un groupe dédié, personne ne peut y toucher. Cette mise à l’abri est aussi importante que verrouiller la cave à vin lorsqu’un amateur vient de débarquer à l’improviste chez vous !
Format du fichier /etc/shadow : une structure aux 9 champs bien rodée
Chaque ligne du fichier correspond à un utilisateur. Elle est décomposée en neuf sections séparées par des deux-points :. Chacune a un rôle spécifique qui allie simplicité et efficacité pour mener la danse de la gestion des accès.
| Champ | Description | Exemple / Remarque |
|---|---|---|
| 1 – Identifiant utilisateur | Nom de connexion | ex : flo, root, www-data |
| 2 – Mot de passe chiffré | Hash du mot de passe avec algorithme (ex : $6$ SHA-512) | Format : $type$salt$hash ou ‘*’ si désactivé |
| 3 – Dernier changement | Nombre de jours depuis le 01/01/1970 | 18960 → 29 nov. 2021 |
| 4 – Âge minimum du mot de passe | Jours avant de pouvoir changer le mot de passe | 0 = changement immédiat possible |
| 5 – Âge maximum du mot de passe | Durée de validité du mot de passe en jours | typique : 99999 jours (près de 273 ans) |
| 6 – Avertissement | Jours avant expiration pour avertir | 7 = avertissement une semaine avant |
| 7 – Période d’inactivité | Jours avant désactivation du compte après expiration | Souvent vide |
| 8 – Date d’expiration compte | Date de désactivation en jours depuis 1970 | Laisse vide si non expiré |
| 9 – Réservé (inactif) | Aucun usage à ce jour |
Un exemple réaliste qui parle : la ligne de l’utilisateur it-connect
Imaginons la ligne suivante extraite d’un vrai fichier /etc/shadow :
it-connect:$y$j9T$NL8Y……………..:18960:0:99999:7:::
En un clin d’œil, cette ligne dévoile que l’utilisateur « it-connect » utilise un mot de passe haché (le contenu chiffré est partiellement masqué ici), qu’il peut changer son mot de passe à tout moment (âge min=0) et qu’il n’a pas besoin de le renouveler avant plus de 99999 jours, soit une sécurité à long terme très souple.
La valeur 18960 indique que le dernier changement date du 29 novembre 2021, calculé à partir de la date de référence UNIX (le fameux 1er janvier 1970). Un avertissement est programmé 7 jours avant que le mot de passe expire, pour jouer la simplicité sans négliger la vigilance.
Modifier et gérer les mots de passe : préférez les commandes dédiées
Au lieu de tripoter manuellement ce fichier délicat, la sagesse veut qu’on utilise des commandes conçues pour ça :
- passwd : change le mot de passe utilisateur, mettant automatiquement à jour /etc/shadow.
- chage : ajuste les paramètres d’âge du mot de passe, d’avertissement et d’expiration.
Ces outils évitent ainsi les erreurs souvent imprévues et maintiennent une gestion cohérente et sécurisée, ce qui est essentiel dans un monde numérique où l’authentification représente le premier rempart contre les intrusions.
Pour un aperçu plus dynamique, cette vidéo montre en détail comment interagir avec le fichier /etc/shadow à travers les commandes passwd et chage, une astuce indispensable dans votre boîte à outils Linux.
Pourquoi ne pas modifier directement /etc/shadow ?
Bien que tentant pour les curieux du bidouillage, toucher directement à ce fichier sans précaution est risqué. Le format crypté et les valeurs codées peuvent provoquer des blocages d’accès, voire compromettre la sécurité globale du système.
Imaginez changer une brique dans votre serrure sans savoir précisément comment elle s’intègre… Résultat, la porte ne s’ouvre plus. Ici, la prudence recommande donc d’utiliser exclusivement les commandes système appropriées pour préserver la stabilité et la sécurité de Linux.
Un petit rappel des droits pour visualiser le fichier /etc/shadow
Pour jeter un œil au contenu, il faut évidemment être le super-utilisateur ou disposer des droits sudo. La commande magique :
- sudo cat /etc/shadow
Cette restriction est indispensable pour éviter que des utilisateurs non autorisés ne puissent accéder aux précieux secrets de vos mots de passe, renforçant ainsi la protection du système.
Pour mieux comprendre les permissions et la gestion des droits sous Linux, cette vidéo complète le tableau et vous fera gagner du temps dans vos futures manipulations.
Une bonne gestion des mots de passe sous Linux en 2026 : nos conseils
- Ne jamais modifier directement /etc/shadow : préférez toujours les commandes passwd et chage.
- Gardez une politique stricte d’expiration des mots de passe pour éviter les failles.
- Sauvegardez régulièrement la configuration de vos fichiers d’authentification, notamment /etc/shadow.
- Contrôlez rigoureusement les permissions pour limiter les accès aux fichiers sensibles.
- Adoptez un algorithme de hachage robuste comme SHA-512, standard sur la plupart des distributions actuelles.
En suivant ces étapes, la sécurité de vos systèmes Linux restera aussi solide qu’une vieille porte blindée bien entretenue, même dans l’univers numérique évolutif de 2026.
Pourquoi le fichier /etc/shadow est-il plus sécurisé que /etc/passwd ?
Parce que /etc/shadow stocke les mots de passe sous une forme cryptée et que ses droits d’accès sont strictement limités, alors que /etc/passwd est accessible en lecture par tous.
Que signifie un mot de passe précédé d’un astérisque (*) dans /etc/shadow ?
Cela indique que le compte ne peut pas être authentifié via un mot de passe traditionnel, souvent utilisé pour désactiver un compte sans le supprimer.
Comment calculer la date du dernier changement de mot de passe ?
Le champ indique le nombre de jours depuis le 1er janvier 1970. En ajoutant ce nombre à cette date de référence, on obtient la date du dernier changement.
Puis-je modifier directement le fichier /etc/shadow ?
Il est fortement déconseillé de modifier ce fichier manuellement, car cela peut entraîner des erreurs et des problèmes d’authentification. Il vaut mieux utiliser des commandes comme passwd ou chage.
Quelles commandes gèrent la mise à jour du fichier /etc/shadow ?
Les commandes passwd et chage permettent respectivement de changer les mots de passe et de gérer les politiques d’âge et d’expiration des mots de passe dans /etc/shadow.
