passwd(パスワード)とは | 意味や読み方など丁寧でわかりやすい用語解説

「passwd」は、UNIX系OSにおいてユーザーのパスワード管理に深く関わる重要な要素である。具体的には、ユーザーが自身のパスワードを変更するためのコマンド名、そしてユーザーアカウント情報が格納されるファイル名の二つの側面を持つ。システムにおけるユーザー認証の根幹をなすため、セキュリティ上極めて重要な役割を担っている。システムエンジニアを目指す上では、この「passwd」がどのように機能し、セキュリティをどのように保っているかを理解することは不可欠である。適切なパスワード管理は、不正アクセスからシステムを保護するための最初の、そして最も重要な防衛線の一つであると言える。

「passwd」は前述の通り、コマンドとファイルの両方を指す。

まず、passwdコマンドについて解説する。このコマンドは、ユーザーが自身のログインパスワードを変更するために使用する。コマンドラインで「passwd」と入力し、現在のパスワードと新しいパスワードを2回入力することで、パスワードが更新される。新しいパスワードはシステムのセキュリティポリシーに従って設定する必要があり、例えば特定の文字数以上、大文字・小文字・数字・記号の組み合わせなどが求められる場合が多い。これは、パスワードの強度を高め、不正な推測や総当たり攻撃からアカウントを保護するためである。パスワードが複雑であればあるほど、これらの攻撃に対する耐性が高まる。また、システム管理者（rootユーザー）は、他のユーザーのパスワードを強制的に変更する際にもこのコマンドを使用できる。この場合、現在のパスワードの入力は不要であるため、紛失したパスワードのリセットや、一時的なアカウント発行などに利用される。passwdコマンドは、入力された新しいパスワードを単に保存するのではなく、セキュリティのためにハッシュ化し、安全な形式でシステムに保存する役割も持つ。

次に、ファイルとしての/etc/passwdについて説明する。このファイルは、システム上の全ユーザーアカウントに関する基本的な情報を格納している。各行が一つのユーザーアカウントに対応しており、それぞれの行はコロン「:」で区切られた複数のフィールドから構成される。標準的なフィールドは以下の通りである。

1. ユーザー名（login name）：システムにログインするための名前。
2. パスワードプレースホルダ：かつては暗号化されたパスワードが直接ここに格納されていたが、セキュリティ強化のため、現在は「x」などのプレースホルダが置かれ、実際のパスワードハッシュは別のファイルに格納されるのが一般的である。
3. ユーザーID（UID）：システムがユーザーを識別するためのユニークな数値。
4. グループID（GID）：ユーザーが属するプライマリグループのID。
5. コメント（GECOS field）：ユーザーのフルネームや連絡先など、任意の情報を記録する。
6. ホームディレクトリ（home directory）：ユーザーがログインした際に最初に位置するディレクトリのパス。
7. ログインシェル（login shell）：ユーザーがログインした際に実行されるシェルプログラムのパス。

この/etc/passwdファイルは、システム上のすべてのユーザーが読み取ることができる権限が設定されているため、ここにパスワードハッシュを直接保存することはセキュリティ上の大きなリスクとなる。悪意のあるユーザーがこのファイルを読み取り、オフラインでパスワードハッシュを解析し、元のパスワードを特定する可能性があったためである。

そこで登場するのが、/etc/shadowファイルである。このファイルは、/etc/passwdファイルのセキュリティ上の課題を解決するために導入された。/etc/shadowファイルには、ユーザーのパスワードハッシュ（暗号化されたパスワード）と、パスワードの有効期限に関する情報などが格納されている。このファイルはrootユーザーのみが読み取れる厳格なアクセス権限が設定されており、一般ユーザーには一切の内容が見えないようになっている。これにより、たとえシステムに侵入され、/etc/passwdファイルが読み取られたとしても、パスワードハッシュを容易に取得できないように保護されている。/etc/shadowファイルの各行もコロンで区切られたフィールドで構成され、主要なフィールドは以下の通りである。

1. ユーザー名（login name）：/etc/passwdと共通のユーザー名。
2. パスワードハッシュ（encrypted password）：ランダムなデータ（ソルト）とパスワードから生成されたハッシュ値。この値から元のパスワードを特定することは極めて困難である。
3. 最終パスワード変更日：パスワードが最後に変更された日付。エポック（1970年1月1日）からの日数で表される。
4. パスワード最短変更日数：パスワードを変更してから、次に変更できるようになるまでの最短日数。
5. パスワード最長変更日数：パスワードを変更してから、有効期限が切れるまでの最長日数。
6. パスワード変更警告期間：パスワードの有効期限が切れる何日前からユーザーに警告を開始するか。
7. アカウント無効期間：パスワードの有効期限が切れてから、アカウントが無効になるまでの日数。
8. アカウント有効期限：アカウント自体が完全に無効になる日付。エポックからの日数で表される。
9. 予約フィールド：将来の機能拡張のために予約されている。

これらの情報により、システムはパスワードの強度だけでなく、パスワードの有効期限管理、パスワード変更の強制、アカウントのロックアウトなど、より高度なセキュリティポリシーを適用できる。

まとめると、「passwd」はコマンドとしてユーザーがパスワードを変更し、その結果は主に/etc/passwdと/etc/shadowという二つのファイルに反映される。/etc/passwdはユーザーの基本情報を公開しつつ、パスワードハッシュの直接的な格納は避ける。そして/etc/shadowが、厳重なアクセス制限の下でパスワードハッシュやパスワード有効期限などの機密情報を管理する。この分離された構造によって、UNIX系OSはユーザー認証のセキュリティを大幅に向上させているのである。システムエンジニアとしては、これらの仕組みを深く理解し、適切なパスワードポリシーの設計・運用、そしてファイルのアクセス権限管理を徹底することが、セキュアなシステム構築において極めて重要となる。