Newsgroup: it.comp.sicurezza.varie
Titolo: Boot come single user sotto Red Hat Pericoloso!

Mi sono accorto che, con l'installazione di default della RedHat (almeno
della 6.0 e 6.1) il lilo,(o meglio la modalitą single user) č stata lasciata
senza protezione:
Mi spiego: niente password e shell di root aperta come per magia!
in pratica: al prompt di lilo, uno digita:
linux single
e ... shell di root aperta!
Io ho trovato una pezza: la fornisce lilo stesso fornendo la possibilitą di
impostare una pwd
Il problema č che lilo passa i parametri da riga di comando oltre che al
kernel, anche
al comando init se necessario, quindi, o si obbliga linux a chiedere la
password anche
in modalita' single user (se ci riuscite famtelo sapere! C'entra qualcosa il
file /etc/login/defs ?)
oppure esiste un'opzione appositamente creata nel lilo!
Infatti si puo' impostare lilo affiche' chieda la password al boot nel caso
in cui siano presenti
parametri (single | S | s | 1 | ...).
La parte brutta e' che la password non č quella di root, ma un'altra e alla
fine te la ritrovi scritta
in chiaro in un file (/etc/lilo.conf) che e' ben accessibile solo da root,
ma sarebbe preferibile
che la pwd fosse criptata...
Dunque, in pratica devi editare /etc/lilo.conf ed aggiungere nella sezione
di linux (tipicamente: image=/boot/***)
le seguenti voci:
password=pippo
restricted
in questo modo, se ci sono parametri al boot lui chiede la password che č
pippo.
adesso devi reinstallare lilo lanciandolo al prompt e buona fortuna!
Per ulteriori chiarimenti o semplicemente per rispondere direttamente
togliere _NO_SPAM_
Ciao            Stef



impostare una pwd
e se poi arrivo io con un qualsiasi dischetto di boot per linux?
mmmm mi sa che quando hai accesso fisico alla macchina l'unica cosa
che può funzionare (poco) è una pwd al bios (che poi puoi resettare
comunque piuttosto facilmente alzando il coperchio dello scatolone).
ciao
Jabba
--
 g_farinelli at yahoo punto com
______________________________
c:\> win2000patch001.exe
This Microsoft(c) patch fix all bugs present. All rigth reserved.
Insert Linux boot disk to continue ... loading kernel ...

file /etc/login/defs ?)
No.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

 senza protezione:
Tanto se hai accesso fisico alla macchina puoi fare questo ed altro.
-- 
Vincent


http://www.penguinpowered.com/~ecesena
"La prima volta che ho visto un piatto di spaghetti pensavo che fosse una
versione impegnativa dello Shangai."
		-- Alessandro Bergonzoni

 Jabba
Infatti nei case di qualita' c'e' un dispositivo anti-intrusione
collegato alla mainboard...  Comunque siamo lontani dalla "filosofia"
del sistema GNU/Linux, che e' appunto quella di dare al proprietario
della macchina totale e completo controllo su di essa.  Se poi
si vuole per un motivo o per l'altro modificare questo comportamento,
la via corretta e' agire in /usr/src/linux/init...  GNU/Linux comincia
li...  Altro che pezze, LUI non ne ha bisogno!  Quelle lasciamole alle
piattaforme Win32, senza rimpianti.

e ... shell di root aperta!
Certo. Ma devi essere FISICAMENTE PRESENTE. E se sei fisicamente presente,
nulla ti impedisce di smontare l'hard disk, montarlo sulla TUA BOX, di cui
sei il legittimo amministratore, come /var/sticazzi, e leggertelo a piacer
tuo.
E' inutile mettere una "sicurezza" su cio' che richiede accesso fisico (e,
anche, una minima competenza: in ufficio non penso mi entrino di single).
Leonardo
".signature": bad command or file name

collegato alla mainboard...
Ci deve essere un piccolo HOWTO nelle Humour-FAQ... 8-D
