Thread View: pl.comp.security
13 messages
13 total messages
Started by Jarosław Maksimowicz
Fri, 04 Apr 1997 13:13
Zmiana hasla uzytkownika przez WWW?
Author: Jarosław Maksimowicz
Date: Fri, 04 Apr 1997 13:13
Date: Fri, 04 Apr 1997 13:13
22 lines
1167 bytes
1167 bytes
Witam! Mam nastepujacy problem: Chce napisac program zmieniajacy haslo uzytkownika (jego skrzynki pocztowej) poprzez formularz zamieszczony na stronie WWW. Zeby to zrobic, bede musial w programie edytowac passwd lub shadow i podmienic haslo, po uprzednim sprawdzeniu poprawnosci hasla starego, na nowe. Aby to zrobic program wykonujacy musi uzyskac na ten czas prawa suid roota. Pytanie? 1. Czy nie bedzie powyzsze rozwiazanie tworzylo dziury w bezpieczenstwie serwera? 2. Czy ktos spotkal sie juz z podobnym problemem lub jego rozwiazaniem (mile widziane zrodla programu). Z gory dziekuje za odpowiedz Jarek jarmak@sitech.pl
Re: Zmiana hasla uzytkownika przez WWW?
Author: Szymon Sokol
Date: Fri, 04 Apr 1997 13:29
Date: Fri, 04 Apr 1997 13:29
22 lines
1738 bytes
1738 bytes
Jarosław Maksimowicz <jarmak@sitech.pl> wrote:
: Pytanie?
: 1. Czy nie bedzie powyzsze rozwiazanie tworzylo dziury w bezpieczenstwie
: serwera?
Jeżeli zrobisz to starannie, to nie... jest tylko jeden drobiazg:
jeśli na tej maszynie użytkownicy mają normalne konta (tzn. z
dostępem do shella, a nie tylko POP3 jak na free.polbox.pl), to jak
zapewnisz, żeby użytkownicy nie odpalali tego programu "z ręki" w
celu zmiany hasła *kolegi*?
Jedyne rozwiązanie jakie widzę, to żeby program wymagał też podania
dotychczasowego hasła. I to via stdin (czyli używaj metody POST w
formularzu), bo jeśli przekażesz hasło via parametr, to je może jakiś
spryciarz z użyciem ps podglądnąć...
Aha, no i zakładam, że się jakoś zabezpieczysz przed ew. snifferami
:->
--
Szymon Sokol -- Network Manager
U U M M M M University of Mining and Metallurgy, Computer Center
U U MM MM MM MM Mickiewicza 30, 30-059 Krakow, POLAND. FAX +48 12 338907
UUU M M M M M M http://galaxy.uci.agh.edu.pl/~szymon/ TEL +48 12 172894
Re: Zmiana hasla uzytkownika przez WWW?
Author: Pawel Krawczyk
Date: Sat, 05 Apr 1997 11:14
Date: Sat, 05 Apr 1997 11:14
17 lines
1502 bytes
1502 bytes
Szymon Sokol <szymon@galaxy.uci.agh.edu.pl> wrote: > Jedyne rozwiązanie jakie widzę, to żeby program wymagał też podania > dotychczasowego hasła. To jest oczywiste. Wlasnie mam cos takiego zamiar zrobic i wyobrazam to sobie w postaci formularza z trzema polami - stare haslo i nowe 2x. > I to via stdin (czyli używaj metody POST w > formularzu), bo jeśli przekażesz hasło via parametr, to je może jakiś > spryciarz z użyciem ps podglądnąć... > Aha, no i zakładam, że się jakoś zabezpieczysz przed ew. snifferami Mysle ze przez SSL. -- Pawel Krawczyk . http://www.ceti.com.pl/~kravietz/ . CETI Politechnika Krakowska . PGP: F00B602435AC9521 Fido 2:486/23
Re: Zmiana hasla uzytkownika przez WWW?
Author: Artur Bartnicki
Date: Sat, 05 Apr 1997 16:34
Date: Sat, 05 Apr 1997 16:34
15 lines
1288 bytes
1288 bytes
Jarosław Maksimowicz wrote:
[ciach - o zmianie hasła via WWW]
> Zeby to zrobic, bede musial w programie edytowac passwd lub shadow
> i podmienic haslo, po uprzednim sprawdzeniu poprawnosci hasla starego,
> na nowe. Aby to zrobic program wykonujacy musi uzyskac na ten czas
> prawa suid roota.
A nie prościej w skrypcie wywołać passwd i kontrolować go via np.
expect?
--
-------------------------------------------------------------------
Artur "Archie" Bartnicki work: (0-71) 48 81 93
mailto:archie@igo23.igo.wroc.pl home: (0-71) 21 92 71
-------------------------------------------------------------------
Re: Zmiana hasla uzytkownika przez WWW?
Author: Zbigniew Zych
Date: Sun, 06 Apr 1997 15:22
Date: Sun, 06 Apr 1997 15:22
11 lines
1037 bytes
1037 bytes
Pawel Krawczyk <kravietz@tau.ceti.com.pl>: > > Aha, no i zakładam, że się jakoś zabezpieczysz przed ew. snifferami > Mysle ze przez SSL. A po cholerę? I tak POP3/IMAP czy też FTP,telnet przesyłają hasło otwartym tekstem.... więc? Zbigniew Zych -- http://onet.pl/~zych/ Optimus SA Oddział Kraków, Dyrektor Działu Technicznego, administrator sieci
Re: Zmiana hasla uzytkownika przez WWW?
Author: Rafal Maszkowski
Date: Sun, 06 Apr 1997 18:01
Date: Sun, 06 Apr 1997 18:01
19 lines
1609 bytes
1609 bytes
On Sat, 05 Apr 1997 17:34:16 +0100 Artur Bartnicki <archie@igo23.igo.wroc.pl> wrote: : Jarosław Maksimowicz wrote: : [ciach - o zmianie hasła via WWW] : > Zeby to zrobic, bede musial w programie edytowac passwd lub shadow : > i podmienic haslo, po uprzednim sprawdzeniu poprawnosci hasla starego, : > na nowe. Aby to zrobic program wykonujacy musi uzyskac na ten czas : > prawa suid roota. : A nie prościej w skrypcie wywołać passwd i kontrolować go via np. : expect? Niby prościej, ale wystarczy drobna modyfikacja passwd i na ogół coś takiego przestaje działać. Udało mi się uruchomić poppasswd, który działa na takiej zasadzie i umie z nim współpracować Eudora, ale najlepiej byłoby żeby sam grzebał w /etc/passwd, co nie jest aż takie trudne. R. -- Rafal Maszkowski rzm@torun.pdi.net http://www.torun.pdi.net/~rzm Opinia publiczna powinna byc zaalarmowana swoim nieistnieniem - St. J. Lec
Re: Zmiana hasla uzytkownika przez WWW?
Author: Piotr Kuchcinski
Date: Mon, 07 Apr 1997 07:48
Date: Mon, 07 Apr 1997 07:48
24 lines
1561 bytes
1561 bytes
Zbigniew Zych wrote: > > Pawel Krawczyk <kravietz@tau.ceti.com.pl>: > > > Aha, no i zak³adam, ¿e siê jako¶ zabezpieczysz przed ew. snifferami > > Mysle ze przez SSL. > > A po cholerê? I tak POP3/IMAP czy te¿ FTP,telnet przesy³aj± > has³o otwartym tekstem.... wiêc? > Ale to nie powod, zeby do istniejacych dziur dokladac nowe. Mysle, ze elastyczne rozwiazanie uzywajace SSL-a (jesli jest dostepne w przegladarce) bedzie najlepsze. > Zbigniew Zych > -- > http://onet.pl/~zych/ > Optimus SA Oddzia³ Kraków, Dyrektor Dzia³u Technicznego, administrator sieci --------------------------------------------------------------------- Piotr Kuchcinski Departament Informatyki Ministerstwa Finansow tel. 694-5007, 694-5367, email: piotrek@mof.mofnet.gov.pl ---------------------------------------------------------------------
Re: Zmiana hasla uzytkownika przez WWW?
Author: Pawel Krawczyk
Date: Mon, 07 Apr 1997 10:13
Date: Mon, 07 Apr 1997 10:13
19 lines
1578 bytes
1578 bytes
Zbigniew Zych <zych@bit.onet.pl> wrote: > Pawel Krawczyk <kravietz@tau.ceti.com.pl>: > > > Aha, no i zakładam, że się jakoś zabezpieczysz przed ew. snifferami > > Mysle ze przez SSL. > A po cholerę? I tak POP3/IMAP czy też FTP,telnet przesyłają > hasło otwartym tekstem.... więc? Po to, zeby to SSL sie w koncu do czegos przydalo ;) Natomiast zastanawia mnie jedna rzecz - po polaczeniach POP3 zostaja mi w logach (qpopper) komunikaty o probie uzycia przez klienta polecenia 'AUTH' - w wiekszosci sa to jakies M$ Internet Majle i inne takie. Czyzby one obslugiwaly to rozszerzenie POP3? Byloby super, ale pomimo poszukiwan nie znalazlem zadnego demona POP3 ktory by je implementowal (pomimo ze jest na nie RFC). -- Pawel Krawczyk . http://www.ceti.com.pl/~kravietz/ . CETI Politechnika Krakowska . PGP: F00B602435AC9521 Fido 2:486/23
Re: Zmiana hasla uzytkownika przez WWW?
Author: Janusz A. Urbanowicz
Date: Mon, 07 Apr 1997 15:10
Date: Mon, 07 Apr 1997 15:10
20 lines
1883 bytes
1883 bytes
In article <5iahbm$gtf$1@bit.onet.pl> Pawel Krawczyk <kravietz@tau.ceti.com.pl> writes: Natomiast zastanawia mnie jedna rzecz - po polaczeniach POP3 zostaja mi w logach (qpopper) komunikaty o probie uzycia przez klienta polecenia 'AUTH' - w wiekszosci sa to jakies M$ Internet Majle i inne takie. Czyzby one obslugiwaly to rozszerzenie POP3? Byloby super, ale pomimo poszukiwan nie znalazlem zadnego demona POP3 ktory by je implementowal (pomimo ze jest na nie RFC). Wydawało mi się że popper (linuxowy) obsługuje po przekompilowaniu z odpowiednią wajchą. Problem może też być stąd, że korzysta to z MD5 i może to ITAR obejmować... Alex -- Janusz A. Urbanowicz, student of physics, Amiga user |finger for PGP&Geek Code Toruń District Heating Plant network admin alex@pec.torun.pl http://eris.phys.uni.torun.pl/~alex/ | 'To stay young, / To save the world, / Break the mirror' -- Nanao Sakaki 'Break the mirror'
Re: Zmiana hasla uzytkownika przez WWW?
Author: Robert Maron
Date: Mon, 07 Apr 1997 15:15
Date: Mon, 07 Apr 1997 15:15
13 lines
1273 bytes
1273 bytes
Pawel Krawczyk <kravietz@tau.ceti.com.pl> wrote: : Natomiast zastanawia mnie jedna rzecz - po polaczeniach POP3 zostaja : mi w logach (qpopper) komunikaty o probie uzycia przez klienta : polecenia 'AUTH' - w wiekszosci sa to jakies M$ Internet Majle i inne : takie. Czyzby one obslugiwaly to rozszerzenie POP3? Byloby super, : ale pomimo poszukiwan nie znalazlem zadnego demona POP3 ktory by : je implementowal (pomimo ze jest na nie RFC). a qpopper ? robert -- robmar@mimuw.edu.pl http://zls.mimuw.edu.pl/~robmar
Re: Zmiana hasla uzytkownika przez WWW?
Author: Pawel Krawczyk
Date: Tue, 08 Apr 1997 14:02
Date: Tue, 08 Apr 1997 14:02
28 lines
2189 bytes
2189 bytes
Robert Maron <robmar@elina.mimuw.edu.pl> wrote: > : Natomiast zastanawia mnie jedna rzecz - po polaczeniach POP3 zostaja > : mi w logach (qpopper) komunikaty o probie uzycia przez klienta > : polecenia 'AUTH' - w wiekszosci sa to jakies M$ Internet Majle i inne > : takie. Czyzby one obslugiwaly to rozszerzenie POP3? Byloby super, > : ale pomimo poszukiwan nie znalazlem zadnego demona POP3 ktory by > : je implementowal (pomimo ze jest na nie RFC). > a qpopper ? No wlasnie - troche pogrzebalem po sieci i juz (prawie) wszystko wiem. Pop pierwsze, to 'AUTH twinkie' w programie Microsoftu nie sluzy zadnej autoryzacji, tylko jest to ich obejscie jakiegos problemu. Wyjasnial to ktos z MS na jakiejs liscie. To co obsluguje qpopper to APOP (RFC1725), inne rozszerzenie POP3, oparte o MD5. Wymaga ustawienia uzytkownikowi hasla (innego niz systemowe), ktore jednak nie jest przesylane przez siec w postaci niezaszyfrowanej. APOPa testowalem juz pare miesiecy temu i dziala to zacnie, tylko ze znowuz malo ktory program pocztowy to obsluguje (pod Linuxa fetchmail, pod Winde chyba tylko Eudora). AUTH o ktorym pisalem to jest jeszcze inne rozszerzenie POP3 (RFC1734) ale sluzy raczej do specyfikacji rodzaju autoryzacji ktory ma byc uzyty niz do samej autoryzacji. -- Pawel Krawczyk . http://www.ceti.com.pl/~kravietz/ . CETI Politechnika Krakowska . PGP: F00B602435AC9521 Fido 2:486/23
Re: Zmiana hasla uzytkownika przez WWW?
Author: Zbigniew Zych
Date: Sun, 13 Apr 1997 12:17
Date: Sun, 13 Apr 1997 12:17
18 lines
1499 bytes
1499 bytes
Piotr Kuchcinski <piotrek@mof.mofnet.gov.pl>: > Zbigniew Zych wrote: > > A po cholerę? I tak POP3/IMAP czy też FTP,telnet przesyłają > > hasło otwartym tekstem.... więc? > Ale to nie powod, zeby do istniejacych dziur dokladac nowe. > Mysle, ze elastyczne rozwiazanie uzywajace SSL-a (jesli jest > dostepne w przegladarce) bedzie najlepsze. Hasło zmieniasz co np. 3 miesiące... no... miesiąc ;-) A z popd łączysz się co 2-10 minut podczas trwania połączenia... IMHO - SSL to tylko tak dla picu.... Statystycznie 0.01% po SSLu???? Zbigniew Zych -- http://onet.pl/~zych/
Re: Zmiana hasla uzytkownika przez WWW?
Author: Robert Maron
Date: Mon, 14 Apr 1997 16:05
Date: Mon, 14 Apr 1997 16:05
10 lines
1106 bytes
1106 bytes
Zbigniew Zych <zych@bit.onet.pl> wrote: : > > A po cholerę? I tak POP3/IMAP czy też FTP,telnet przesyłają : > > hasło otwartym tekstem.... więc? no ale popa mozesz apopem, ktory nie przesyla hasla; a ftp i telnet zablokowac... niech uzywaja ssh robert ;) -- robmar@mimuw.edu.pl http://zls.mimuw.edu.pl/~robmar
Thread Navigation
This is a paginated view of messages in the thread with full content displayed inline.
Messages are displayed in chronological order, with the original post highlighted in green.
Use pagination controls to navigate through all messages in large threads.
Back to All Threads