🚀 go-pugleaf

Krzysztof G. Baranowski <KGB@rubikon.net.pl> wrote:
: Zamierzam zainstalowac sobie shadows, ale nurtuje mnie jedna sprawa.
: Czy po ich zainstalowaniu bedzie mozna dodawac recznie wpisy do pliku passwd
: i czy bedzie sie mozna na takie konta zalogowac, czy tez trzeba bedzie wszystko 
: robic za pomoca narzedzi.
Jakbyś jeszcze podał, o jaki chodzi system... Będę strzelał, że 
Linux. W takim przypadku, oczywiście, można dalej dziubać ręcznie w 
/etc/passwd, nie zapominając o /etc/shadow oczywiście. 
W np. SunOS/Solaris też. W np. Ultrix albo SCO nie, bo używa[ją/ły] 
dzikiego rozwiązania (zamiast prostego pliku tekstowego jest jakaś 
baza danych).
-- 
                   Szymon Sokol -- Network Manager
U   U M   M M   M  University of Mining and Metallurgy, Computer Center
U   U MM MM MM MM  Mickiewicza 30, 30-059 Krakow, POLAND.    FAX +48 12 338907
 UUU  M M M M M M  http://galaxy.uci.agh.edu.pl/~szymon/     TEL +48 12 172894

>Zamierzam zainstalowac sobie shadows, ale nurtuje mnie jedna sprawa.
>Czy po ich zainstalowaniu bedzie mozna dodawac recznie wpisy do pliku =
>passwd
>i czy bedzie sie mozna na takie konta zalogowac, czy tez trzeba bedzie =
>wszystko=20
>robic za pomoca narzedzi.

Czy ktos mi moze w skrocie powiedziec jak dziala shadow?
Gdzie zapisuje hasla skoro nie w /etc/passwd i jak to jest zrobione, ze 
uzytkownicy nie maja dostepu typu read do pliku z haslami, a mimo to moga 
sie logowac. Czy shadow daje jakies inne zyski procz wywalenia hasel z /etc/
passwd? Czy zamiast zakladac shadow nie mozna by pozbawic prawa read do /etc/
passwd i po prostu komendom typu passwd ustawic suida aby mogly ten plik 
czytac?

Pozdrawiam

Piotr Bernatowicz
Pozdrawiam serdecznie

Piotr Bernatowicz

Piotr Bernatowicz <BERNAT@alfa.ichf.edu.pl> wrote:

: Czy ktos mi moze w skrocie powiedziec jak dziala shadow?
Tak.
: Gdzie zapisuje hasla skoro nie w /etc/passwd i jak to jest zrobione, ze 
: uzytkownicy nie maja dostepu typu read do pliku z haslami, a mimo to moga 
: sie logowac. Czy shadow daje jakies inne zyski procz wywalenia hasel z /etc/
: passwd? Czy zamiast zakladac shadow nie mozna by pozbawic prawa read do /etc/
: passwd i po prostu komendom typu passwd ustawic suida aby mogly ten plik 
: czytac?
1) W /etc/shadow, typowo. Czasami gdzie indziej.
2) Program login jest wykonywany jako root, podobnie np. sshd, rlogind, 
itp. su jest suid root. Root oczywiście może czytać /etc/shadow.
3) Nie.
4) Nie, bo w /etc/passwd są nie tylko hasła, ale też np. full name, 
shell, $HOME... to wszystko musi być dostępne nawet bez praw roota. 
Oh well, musi nie musi. Ale przyjęło się, że jest. A passwd suid ma i
tak, bo musi nie tylko czytać, ale i *pisać* ten plik (zmiana hasła 
== zapis).


-- 
                   Szymon Sokol -- Network Manager
U   U M   M M   M  University of Mining and Metallurgy, Computer Center
U   U MM MM MM MM  Mickiewicza 30, 30-059 Krakow, POLAND.    FAX +48 12 338907
 UUU  M M M M M M  http://galaxy.uci.agh.edu.pl/~szymon/     TEL +48 12 172894

Piotr Bernatowicz <BERNAT@alfa.ichf.edu.pl> wrote:
: Czy ktos mi moze w skrocie powiedziec jak dziala shadow?
: Gdzie zapisuje hasla skoro nie w /etc/passwd i jak to jest zrobione, ze 
: uzytkownicy nie maja dostepu typu read do pliku z haslami, a mimo to moga 
: sie logowac. Czy shadow daje jakies inne zyski procz wywalenia hasel z /etc/
: passwd? Czy zamiast zakladac shadow nie mozna by pozbawic prawa read do /etc/
: passwd i po prostu komendom typu passwd ustawic suida aby mogly ten plik 
: czytac?

1. Oprocz zablokowania dostepu do pliku z haslami, shadow pozwala zwykle na
   zarzadzanie mozliwoscia/koniecznoscia zmiany hasla. Sluza do tego dalsze 
   pola w /etc/shadow (po hasle) oraz programik chage.

2. SUID=root [owinny byc tylko programy specjalnie (z zachowaniem wielu 
   zabezpieczen) napisane, gdyz stanowia one powazne (najpowazniejsze) zrodlo 
   uzyskiwania nieuprawnionego dostepu.

3. Tak sie akurat sklada, ze /etc/passwd nie sluzy tylko do przechowywania
   hasel. Korzysta z niego *KAZDY* program, ktory potrzebuje konwersji
   login_uzytkownika<->UID lub czyjegos home_dir. Np. bash wykorzystuje go
   do tlumaczenia ~user na /home/user. Wyobrazasz sobie uzywac bash-a
   SUID=root ??? :)

ankry

>3. Tak sie akurat sklada, ze /etc/passwd nie sluzy tylko do przechowywania
>   hasel. Korzysta z niego *KAZDY* program, ktory potrzebuje konwersji
>   login_uzytkownika<->UID lub czyjegos home_dir. Np. bash wykorzystuje go
>   do tlumaczenia ~user na /home/user. Wyobrazasz sobie uzywac bash-a
>   SUID=root ??? :)

No dobrze. Ja rozumiem, ze rozne programy musza dokonywac roznych rzeczy z 
roznymi informacjami zawartymi w /etc/passwd. Rozumiem tez, ze - jak pisal 
Szymon Sokol - przyjelo sie, ze np. full name jest dostepne kazdemu.
Ale przeciez moznaby w prosty sposob rozbudowac komende passwd (np. 
jakies switche) zeby podawala te informacje, a informacji o zaszyfrownaym 
hasle zeby nie podawala. A skoro ludzie tego nie zrobili tylko wymyslili 
jakies tam shadow, ktore komplikuje zycie przez dolozenie dodatkowych file'
i, to znak ze mieli ku temu powod. Czy ktos wie jaki?

 

Pozdrawiam serdecznie

Piotr Bernatowicz

BERNAT@alfa.ichf.edu.pl (Piotr Bernatowicz) writes:

> 
> Ale przeciez moznaby w prosty sposob rozbudowac komende passwd (np. 
> jakies switche) zeby podawala te informacje, a informacji o zaszyfrownaym 
> hasle zeby nie podawala. A skoro ludzie tego nie zrobili tylko wymyslili 
> jakies tam shadow, ktore komplikuje zycie przez dolozenie dodatkowych file'
> i, to znak ze mieli ku temu powod. Czy ktos wie jaki?

Moze niektorzy mysla, ze przepisanie kilku programow uzywajacych
hasel jest mniej skomplikowane od przepisywania wszystkich programow
uzywajacych informacji o uzytkowniku. Mozna sie zastanowic nad tym,
czy istnieje taki program, ktorego kodu nie trzeba by bylo zmieniac
gdyby zastosowac twoja koncepcje wprowadzania opcji do passwd, a
trzeba go zmienic z powodu shadowa. Poza tym passwd jest programem ze
suidem i jego kod powinien byc maksymalnie prosty. (Kernel tez jest ze
suidem :) )

--
Krzys
Uwazam, ze nalezy zlikwidowac ISO i zamknac Microsoft