/bin/falsees un programa de utilidad, complementario /bin/true, que es útil en un sentido abstracto para garantizar que Unix tenga funciones completas. Sin embargo, se han encontrado propósitos emergentes para estos programas; considere la declaración BASH /some/program || /bin/true, que siempre evaluará boolean a true ( $? = 0) sin importar el retorno de /some/program.
Un uso emergente de /bin/false, como identificó, es como un shell nulo para los usuarios que no pueden iniciar sesión. El sistema en este caso se comportará exactamente como si el shell no se ejecutara.
POSIX (aunque puedo estar equivocado y puede ser el SUS) restringe estos dos comandos para hacer exactamente nada más que devolver el valor booleano apropiado.
/sbin/nologines una utilidad BSD que tiene un comportamiento similar a /bin/false(devuelve boolean false), pero también imprime la salida, como /bin/falseestá prohibido. Se supone que esto ayuda al usuario a comprender lo que sucedió, aunque en la práctica muchos emuladores de terminal simplemente se cerrarán cuando finalice el shell, haciendo que el mensaje sea casi ilegible en algunos casos.
Hay poca propósito de enumerar /sbin/nologinen /etc/shells. El efecto estándar de /etc/shellses enumerar los programas permitidos para su uso chshcuando los usuarios están cambiando su propio shell (y no hay ninguna razón creíble para cambiar su propio shell /sbin/nologin). El superusuario puede cambiar el caparazón de cualquier persona a cualquier cosa. Sin embargo, es posible que desee enumerar ambos /sbin/nologiny /bin/falseen /etc/rsh, lo que prohibirá a los usuarios con estos shells cambiar su shell utilizando chshen el desafortunado caso de que obtengan un shell.
Los demonios FTP pueden impedir el acceso a usuarios con un shell que no esté en / etc / shells, o pueden usar cualquier otra lógica que deseen. En cualquier caso, debe evitarse ejecutar FTP porque sftp(que proporciona una funcionalidad similar) es similar pero seguro. Algunos sitios usan /sbin/nologinpara deshabilitar el acceso de shell mientras permiten el acceso sftp al ponerlo /etc/shells. Esto puede abrir una puerta trasera si el usuario puede crear cronjobs.
En cualquier caso, scpno funcionará con un shell no válido. scponlyse puede usar como shell en esta instancia.
Además, la elección de shell afecta el funcionamiento de su -(AKA su -l). Particularmente, la salida de /sbin/nologinse imprimirá en stdout si es el shell; este no puede ser el caso con /bin/false. En cualquier caso, los comandos ejecutados con su -clfallarán.
Finalmente, la respuesta:
Para deshabilitar una cuenta, no dependa de ninguno de estos, pero configure el shell /sbin/nologinpara fines informativos (a menos que /sbin/nologinesté en /etc/shells, en qué punto debe usar /bin/false, que no debería estar). En su lugar, establecer el campo de contraseña en /etc/passwda !, que está garantizada por cryptser válida para ninguna contraseña. Considere configurar el hash de /etc/shadowla misma manera para evitar errores. passwd -lHará esto por ti.
Una tercera forma de deshabilitar una cuenta es establecer el campo de fecha de vencimiento de la cuenta en una fecha antigua (p. Ej. usermod --expiredate 1). Esto evitará inicios de sesión en caso de que su configuración permita a los usuarios autenticarse en su cuenta de Unix sin una contraseña y el servicio que están utilizando no requiere shell.