시험 직전 요약장

/etc/passwd의 마지막 필드는 로그인 셸 또는 로그인 후 실행할 프로그램을 나타낸다.

일반 사용자 계정에는 다음처럼 실제 셸이 지정될 수 있다.

/bin/bash
/bin/sh

반면 서비스 전용 계정처럼 대화형 로그인이 필요하지 않은 계정은 nologin 계열 프로그램이나 false 계열 값을 사용해 대화형 로그인을 제한하는 구성이 사용되기도 한다.

중요한 점은 특정 경로를 무조건 외우는 것이 아니다. nologin 실행 파일의 경로는 시스템에 따라 다를 수 있다.

보안 판단은 다음과 같이 한다.

이 계정은 사람이 로그인해야 하는가?↓아니라면 대화형 셸이 정말 필요한가?↓불필요한 로그인 경로를 줄일 수 있는가?

또한 로그인 셸 제한만으로 모든 인증·서비스 접근이 자동 차단된다고 단정하지 않는다. 실제 허용 여부는 SSH, 파일 전송 서비스, PAM 구성 등 서비스의 동작 방식과 정책에 따라 달라질 수 있다.

대표적인 로컬 그룹 파일 /etc/group은 다음과 같은 형식을 가진다.

group_name:password:GID:user_list

예를 들어 다음은 학습용 가상 예시다.

developers:x:2000:dev01,dev02

여기서 2000은 그룹의 GID이고, 마지막 필드는 해당 그룹의 구성원 이름 목록을 나타낸다.

하지만 사용자의 그룹 소속을 판단할 때 /etc/group의 마지막 필드만 보면 안 된다.

사용자에게는 보통 다음 두 종류의 그룹 관계가 있다.

1. 기본 그룹(Primary Group): /etc/passwd 계정 항목의 GID 필드로 지정
2. 보조 그룹(Supplementary Groups): 추가로 소속된 그룹들

즉 어떤 사용자가 그룹의 기본 그룹 구성원인 경우 /etc/group의 구성원 이름 목록에 이름이 없어도 해당 GID와 관계될 수 있다.

보안 문제에서 “사용자가 어느 그룹의 권한을 적용받는가?”를 판단할 때는 기본 GID와 보조 그룹을 함께 확인해야 한다.

예를 들어 다음과 같은 가상 계정이 있다고 하자.