PASSWD(1)

NOM
passwd - Modifier le mot de passe d'un utilisateur

SYNOPSIS

passwd [options] [LOGIN]

DESCRIPTION

The passwd command changes passwords for user accounts. A normal user may only change the password for his/her own account, while the superuser may change the password for any account. passwd also changes the account or associated password validity period.

  Modifications du mot de passe

The user is first prompted for his/her old password, if one is present. This password is then encrypted and compared against the stored password. The user has only one chance to enter the correct password. The superuser is permitted to bypass this step so that forgotten passwords may be changed.

Une fois que le mot de passe a été entré, les informations de limite de validité du mot de passe sont vérifiées pour s'assurer que l'utilisateur est autorisé à modifier son mot de passe à cet instant. Dans le cas contraire, passwd refuse de changer le mot de passe, et quitte.

Le nouveau mot de passe sera demandé deux fois à l'utilisateur. Le second mot de passe est comparé avec le premier. Ces deux mots de passe devront être identiques pour que le mot de passe soit changé.

La complexité de ce mot de passe est alors testée. Comme ligne de conduite générale, un mot de passe doit toujours être constitué de 6 à 8 caractères en en choisissant un ou plus parmi chacun des ensembles suivants :

    • caractères alphabétiques minuscules

    • chiffres de 0 à 9

    • marques de ponctuation

Il faudra faire attention à ne pas utiliser les caractères de suppression ou d'effacement. Passwd rejettera tout mot de passe dont la complexité ne sera pas suffisante.

  Astuces pour les mots de passe

La sécurité d'un mot de passe repose sur la force de l'algorithme de chiffrement et sur la taille de l'espace de clés utilisé. La méthode de chiffrement des systèmes UNIX est basée sur l'algorithme NBS DES. Des méthodes plus récentes sont maintenant recommandées (voir ENCRYPT_METHOD). La taille de l'espace de clés dépend de l'aléa du mot de passe utilisé.

Les compromissions de la sécurité des mots de passe résultent le plus souvent d'une négligence dans le choix du mot de passe, ou lors de son utilisation. Pour cette raison, vous ne devez pas sélectionner de mot de passe apparaissant dans un dictionnaire ou devant être écrit. Le mot de passe ne doit pas non plus être un nom propre, un numéro minéralogique, une date de naissance, ou une adresse. En effet ceux-ci pourraient être devinés pour violer la sécurité du système.

You can find advices on how to choose a strong password on http://en.wikipedia.org/wiki/Password_strength

OPTIONS

Les options disponibles pour la commande passwd sont :

-a, --all
    Cette option ne peut être utilisée qu'avec -S et permet d'afficher l'état des mots de passe pour tous les utilisateurs.

-d, --delete
    Supprime le mot de passe (le rend vide) d'un utilisateur. C'est une façon rapide de supprimer l'authentification par mot de passe pour un compte. Il rend le compte indiqué sans mot de passe.

-e, --expire
    Annule immédiatement la validité du mot de passe d'un compte. Ceci permet d'obliger un utilisateur à changer son mot de passe lors de sa prochaine connexion.

-h, --help
    Afficher un message d'aide et quitter.

-i, --inactive DURÉE_INACTIVITÉ
    Cette option permet de désactiver un compte un certain nombre de jours après que son mot de passe soit arrivé en fin de validité. Après qu'un mot de passe soit arrivé en fin de validité depuis plus de DURÉE_INACTIVITÉ jours, l'utilisateur ne pourra plus se connecter avec ce compte.

-k, --keep-tokens
    Indicate password change should be performed only for expired authentication tokens (passwords). The user wishes to keep their non-expired tokens as before.

-l, --lock
    Lock the password of the named account. This option disables a password by changing it to a value which matches no possible encrypted value (it adds a ´!´ at the beginning of the password).

    Note that this does not disable the account. The user may still be able to login using another authentication token (e.g. an SSH key). To disable the account, administrators should use usermod --expiredate 1 (this set the account's expire date to Jan 2, 1970).

    Users with a locked password are not allowed to change their password.

-n, --mindays MIN_DAYS
    Définit le nombre minimum de jours entre chaque changement de mot de passe à MIN_DAYS. Une valeur de zéro pour ce champ indique que l'utilisateur peut changer son mot de passe quand il le souhaite.

-q, --quiet
    Mode silencieux.

-r, --repository REPOSITORY
    change password in REPOSITORY repository

-S, --status
    Afficher l'état d'un compte. Cet état est constitué de 7 champs. Le premier champ est le nom du compte. Le second champ indique si le mot de passe est bloqué (L), n'a pas de mot de passe (NP) ou a un mot de passe utilisable (P). Le troisième champ donne la date de dernière modification du mot de passe. Les quatre champs suivants sont : la durée minimum avant modification, la durée maximum de validité, la durée d'avertissement, et la durée d'inactivité autorisée pour le mot de passe. Les durées sont exprimées en jours.

-u, --unlock
    Déverrouille le mot de passe du compte indiqué. Cette option réactive un mot de passe en remettant le mot de passe à sa valeur précédente (la valeur présente avant l'utilisation de l'option -l).

-w, --warndays DURÉE_AVERTISSEMENT
    Fixe le nombre de jours d'avertissement avant que le changement de mot de passe ne soit obligatoire. La valeur DURÉE_AVERTISSEMENT est le nombre de jours précédant la fin de validité pendant lesquels un utilisateur sera prévenu que son mot de passe est sur le point d'arriver en fin de validité.

-x, --maxdays JOURS_MAX
    Fixe le nombre maximum de jours pendant lesquels un mot de passe reste valable. Après JOURS_MAX, le mot de passe devra être modifié.

AVERTISSEMENTS

La vérification de la complexité des mots de passe peut varier d'un site à l'autre. Il est vivement conseillé aux utilisateurs de choisir un mot de passe aussi complexe que possible dans la limite de ce qu'il est capable de mémoriser.

Il se peut que les utilisateurs ne puisse pas changer leur mot de passe sur un système si NIS est activé et qu'ils ne sont pas connectés au serveur NIS.

CONFIGURATION

Les variables de configuration suivantes de /etc/login.defs modifient le comportement de cet outil :

ENCRYPT_METHOD (chaîne ce caractères)
    Définit les algorithmes de chiffrement par défaut du système pour coder les mots de passes (si aucun algorithme n'a été indiqué sur la ligne de commandes).

    Il peut prendre une de ces valeurs :

        • DES (par défaut)

        • MD5

        • SHA256

        • SHA512

    Remarque : ce paramètre remplace la variable MD5_CRYPT_ENAB.

MD5_CRYPT_ENAB (booléen)
    Indicate if passwords must be encrypted using the MD5-based algorithm. If set to yes, new passwords will be encrypted using the MD5-based algorithm compatible with the one used by recent releases of FreeBSD. It supports passwords of unlimited length and longer salt strings. Set to no if you need to copy encrypted passwords to other systems which don't understand the new algorithm. Default is no.

    This variable is superceded by the ENCRYPT_METHOD variable or by any command line option used to configure the encryption algorithm.

    This variable is deprecated. You should use ENCRYPT_METHOD.

OBSCURE_CHECKS_ENAB (booléen)
    Enable additional checks upon password changes.

PASS_ALWAYS_WARN (booléen)
    Warn about weak passwords (but still allow them) if you are root.

PASS_CHANGE_TRIES (nombre)
    Maximum number of attempts to change password if rejected (too easy).

PASS_MAX_LEN (nombre), PASS_MIN_LEN (nombre)
    Number of significant characters in the password for crypt(). PASS_MAX_LEN is 8 by default. Don't change unless your crypt() is better. This is ignored if MD5_CRYPT_ENAB set to yes.

SHA_CRYPT_MIN_ROUNDS (nombre), SHA_CRYPT_MAX_ROUNDS (nombre)
    When ENCRYPT_METHOD is set to SHA256 or SHA512, this defines the number of SHA rounds used by the encryption algorithm by default (when the number of rounds is not specified on the command line).

    With a lot of rounds, it is more difficult to brute forcing the password. But note also that more CPU resources will be needed to authenticate users.

    If not specified, the libc will choose the default number of rounds (5000).

    The values must be inside the 1000-999999999 range.

    If only one of the SHA_CRYPT_MIN_ROUNDS or SHA_CRYPT_MAX_ROUNDS values is set, then this value will be used.

    If SHA_CRYPT_MIN_ROUNDS > SHA_CRYPT_MAX_ROUNDS, the highest value will be used.

FICHIERS

/etc/passwd
    Informations sur les comptes des utilisateurs.

/etc/shadow
    Informations sécurisées sur les comptes utilisateurs.

/etc/login.defs
    Configuration de la suite des mots de passe cachés « shadow password ».

VALEURS DE RETOUR

La commande passwd retourne les valeurs suivantes en quittant :

0
    succès

1
    permission refusée

2
    combinaison d'options non valable

3
    échec inattendu, rien n'a été fait

4
    échec inattendu, le fichier passwd est manquant

5
    fichier passwd en cours d'utilisation, veuillez réessayer plus tard

6
    paramètre non valable pour l'option

VOIR AUSSI

passwd(5), shadow(5), login.defs(5), usermod(8).