Study · 운영체제 · 로그인 · 계정과 권한

로그인은 비밀번호를 맞히는 일이 아니라 자격증명을 갈아 끼우는 일이다

장면

ssh 로 접속해 whoami 를 치면 내 계정 이름이 나온다. 커널은 내가 누구인지를 어디에 적어 두고 있고, 그것은 언제 정해졌을까?

$ ssh tghan@ubuntu
tghan@ubuntu:~$ id
uid=1000(tghan) gid=1000(tghan) groups=1000(tghan),27(sudo)
# uid=1000 이 커널이 나를 부르는 번호다. 이름 tghan 은 그 번호에 붙인 이름일 뿐이다

먼저 알아야 할 말

자격증명: 프로세스가 「누구로서」 도는지를 담은 커널 안의 값이다(struct cred). uid · gid · 가진 권한이 여기 있고, 로그인은 이것을 갈아 끼우는 일이다.
커널: 컴퓨터가 켜져 있는 동안 늘 돌고 있는 프로그램 하나다. 파일을 만들고 지우는 일, 프로그램을 띄우는 일은 내 프로그램이 직접 못 하고 전부 커널에 부탁한다. 터미널에 친 명령이 실제로 무언가를 하는 순간은 늘 커널 안이다.
root: 번호가 0 인 계정이다. 권한 검사를 거의 다 통과해서 무엇이든 할 수 있다. 우분투를 설치하면 처음부터 있는 계정이고, 내 계정과는 별개다.
구조체: 값 여러 개를 한 덩어리로 묶어 둔 것이다. C 에는 클래스가 없어서 이렇게 쓴다 — 메서드 없이 필드만 있는 자바 클래스라고 보면 된다. C 에서 a->b 는 자바의 a.b 와 같다(안에 든 것을 꺼낸다).
task: 커널이 CPU 를 나눠 줄 때 세는 단위 하나다. 커널 눈에는 프로세스든 스레드든 똑같이 task 하나다.
포인터: 덩어리 자체가 아니라 그 덩어리가 놓인 자리를 적어 둔 쪽지다. 쪽지를 건네면 덩어리를 옮기지 않고도 같은 것을 가리킬 수 있다. 자바에서 객체를 변수에 담는 것과 같은 자리다.
세션: 로그인 한 번으로 묶이는 프로세스 무리다. 터미널을 닫으면 그 세션에 매달린 것들이 함께 정리된다.
터미널: 글자로 명령을 입력하고 결과를 글자로 보는 창이다. 그 안에서 PowerShell 같은 셸이 돌고, Claude Code 도 터미널 안에서 돈다.
uid · gid: 계정 번호(uid)와 그룹 번호(gid)다. 커널은 이름이 아니라 번호로 사람을 가른다 — id 를 치면 uid=1000(tghan) 처럼 둘 다 보인다. euid 는 권한을 볼 때 쓰는 번호로, 보통은 uid 와 같지만 sudo 처럼 잠깐 남이 될 때만 달라진다.
su: 다른 계정으로 갈아타는 명령이다. sudo 가 명령 하나만 그 권한으로 돌리는 것과 다르다.
포트: 한 컴퓨터 안에서 어느 프로그램에게 줄지 가르는 번호다. 주소가 건물이라면 포트는 호수다. ssh 는 22번, 웹은 보통 80·443번을 쓴다. Spring Boot 실측에서는 8080을 다른 프로그램이 이미 쓰고 있어서 --server.port=18080 으로 18080을 썼다.
PAM: Pluggable Authentication Modules. 우분투에서 비밀번호를 확인하는 쪽 장치다. 커널이 아니라 사용자 공간에 있고, 커널은 그 결과만 받아 자격증명을 바꾼다.
해시: 비밀번호를 그대로 적지 않고 되돌릴 수 없게 뭉개 놓은 글자 덩어리다. 맞는지 보려면 들어온 비밀번호를 같은 방법으로 뭉개서 견준다 — 그래서 파일을 훔쳐도 원래 비밀번호는 안 나온다.
사용자 공간: 커널이 아닌 쪽이다. 내가 실행하는 프로그램은 전부 여기 있고, 여기서는 디스크나 메모리를 직접 못 만진다. 무언가 하려면 시스템 콜로 커널에 부탁해야 한다.
프로세스: 돌고 있는 프로그램 하나다. ps 가 줄마다 보여 주는 것이 프로세스이고, 각각 번호(PID)가 있다.
sudo: 명령 하나를 root 권한으로 실행하는 명령이다. sudo useradd 처럼 앞에 붙여 쓴다.
LSM: Linux Security Module. rwx 검사를 통과한 뒤에 한 번 더 묻는 자리다. SELinux · AppArmor 가 여기에 꽂혀 「그래도 안 된다」고 말할 수 있다.
rwx: 읽기(r) · 쓰기(w) · 실행(x) 권한이다. 주인 · 그룹 · 나머지 셋으로 나뉘어 아홉 자리가 된다 — ls -l 의 rw-r--r-- 가 그것이다.
SELinux: LSM 에 꽂히는 보안 모듈 가운데 하나다. 프로세스와 파일에 붙은 이름표(label)를 보고 정책표와 맞춰 허용 여부를 정한다.
셸 스크립트: 터미널에 한 줄씩 치는 명령어들을 파일 하나에 모아서 순서대로 실행하게 만든 것이다. bash는 명령어를 입력받아 실행해 주는 프로그램(셸) 중 널리 쓰이는 것이고, 셸 스크립트는 그 bash가 한 줄씩 읽어서 실행하는 파일이다. 매번 손으로 치는 대신 파일 하나를 실행해서 같은 명령어 묶음을 반복한다.
PID: 프로세스마다 붙는 번호다. ps 가 줄마다 보여 주는 첫 칸이고, 셸에서 echo $$ 로 자기 번호를 볼 수 있다.
셸: 명령을 받아 실행해 주는 프로그램이다. 우분투 기본은 bash 이고, 터미널에서 보이는 $ 앞이 그것이다.

아래 재생기의 ▶를 누르면 한 스텝씩 진행된다. 금색 테두리가 지금 이야기하는 곳이고, 캡션이 무슨 일이 일어났는지 말해 준다. 굵게 밑줄 친 말은 누르면 뜻이 나온다. 빨간 딱지는 그때 벌어지는 일의 이름이고, 캡션 바로 위 회색 글자는 지금 스텝이 속한 묶음의 이름이다.

카드 아래 회색 줄은 그 일이 실제로 적혀 있는 소스의 파일 이름 : 줄 번호와 함수 이름이다. 글 안에 (:669)처럼 줄 번호만 적힌 것은 바로 앞에 적은 파일의 그 줄이라는 뜻이다. 캡션 한가운데 박힌 긴 영어 이름과 괄호 속 파일 · 줄 번호도 같다 — 건너뛰고 한글만 읽어도 뜻이 통하게 써 두었다.

장면 · 로그인은 비밀번호를 맞히는 일이 아니라 자격증명을 갈아 끼우는 일이다 0 / 9

▶ 를 누르면 ssh 로 접속한 순간부터 셸이 내 계정으로 뜨기까지를 따라간다. 비밀번호를 보는 자리와 「내가 누구인지」가 정해지는 자리가 서로 다른 칸이라는 것이 이 장면의 요지다.

키보드 · ← → 한 스텝 · Space 재생/멈춤 · Home 처음

비밀번호를 보는 것은 커널이 아니다. 커널이 하는 일은 내 자격증명을 root 에서 나로 갈아 끼우는 것 하나뿐이고, 그 바뀜은 딱 한 줄에서 일어난다.

어떻게 확인했나

소스 어디를 보고 적었는지와 무엇을 돌려서 쟀는지를 남긴 자리다. 처음 읽을 때는 건너뛰어도 된다.

cred 는 include/linux/cred.h:115 의 구조체이고, task 마다 real_cred 와 cred 두 포인터로 매달려 있다(include/linux/sched.h:1173, 1176). commit_creds 가 그 둘을 한꺼번에 갈아 끼운다(kernel/cred.c:416-417).
ksys_setsid(kernel/sys.c:1268) 가 세션을 새로 여는 자리다. 우두머리로 세운 뒤 proc_clear_tty 로 물려받은 터미널을 끊는다.
도커 우분투에서 id 와 ps -o pid,ppid,uid,sess,comm 을 찍었다. root 로 들어가면 uid=0(root), 만든 계정으로 su 하면 uid=1002(devuser2) 로 나온다 — 커널이 드는 것은 번호이고 이름은 /etc/passwd 가 붙인다.

‹ 목차 다음 항목 ›