Newsgroup: it.comp.sicurezza.varie
Titolo: /etc/login.defs e lunghezza password NO :)

Parentesi. Mi sono sempre chiesto se nelle distro linux non ci siano anche
file di configurazione che contengano parametri ad uso storiografico piu'
che effettivo. :)
Nel mio /etc/login.defs c'e' un bel campo 
PASS_MIN_LEN    12
da me impostato a 12 per poter aumentare, come richiesto da maurizio, se
non erro, il limite degli 8 char sotto unix. Ebbene NON SERVE AD UNA
CIPPA. 
Mi spiego:
sembra che utilizzando i moduli PAM o le password shadow, od una loro
combinazione, questo parametro non venga utilizzato. Almeno prima pensavo
cosi'. In realta' credo dipenda dalla implementazione di crypt presente
nel sistema. Infatti:
1) con passwd(1) e' possibile settare password cmq di 8 caratteri e NON
minimo 12 come da me richiesto in login.defs
2) con telnet, login, rlogin, vlock, xlock, xscreenssaver, xdm e compagnia
bella e' possibile calcolare la password solo sui primi 8 caratteri.
Se ad esempio la mia password e' 123456789012, ovvero di 12 caratteri,
posso passare le procedure di login suddette mediante le seguenti
password: 12345678, 123456788888, 12345678901234567890, 12345678132245768
ovvero tutte quelle che possano avere i primi 8 caratteri esatti ..... se
invece la password e' di 7 caratteri, aggiungerne un ottavo la inficia. Da
questo penso di poter dire che il problema sia crypt() o magari nell'uso
di PAM [non ho purtroppo tempo al momento di divertirmi con questo]
3)ho testato su RH5.2, SuSE non so quale, ma non la 6.0 ed una vecchia
slackware ... non ho idea di Debian (Marco ci sei?)
NB: questo e' un qualcosa di nuovo per me e quindi potrei non aver visto
qualcosa di enorme proprio sotto ai miei occhi :) Nel qual caso chiedo
venia.
invy
-----BEGIN GEEK CODE BLOCK-----
Version: 3.1
GSS/TW/O>AT d?(dx) s+:+, s: a-->a- C++(C+++) UL+++>UL++++ P+ L+++>L++++
E-- W(W-) N++ K? w-- O- M- V- PS++ PE Y+ PGP++ t++@ 5 X+ R+(R++) tv b+++
DI+++@ D+ G>G++ e++ h r+(r-) y++*
------END GEEK CODE BLOCK------


se ho ben capito il quesito, devi mettere
MD5_CRYPT_ENAB yes
altrimenti la lunghezza massima resta comunque 8 (1), cmq non ho ben
capito (l'inglese non e' il mio forte) se cio' puo' causare problemi
(1) cioe' se anche la metti di 9 il nono carattere ci sia o non entri
cmq..
 ciao
nebbia

 cmq..
si, e' giusto appunto quello che ho scritto nel mio msg. mi chiedo quanti
sistemi possano avere questo tipo di problema senza saperlo.


sto spulciandomi il pacchetto shadowutils da cui deriva il mio
/etc/login.defs e devo dire che:
esiste una macro DOUBLESIZE che in fase di compilazione porta da 8 a 16 il
valore standard dei caratteri 'attivi' nelle password.
esiste altresi' anche una macro per definire l'uso di MD5 per quanto
riguarda crypt, ma non viene associato nei docs dei src all'aumento di
caratteri delle password. MD5_CRYPT_ENAB in /etc/login.defs viene usato
per utilizzare 8 caratteri di salt invece dei canonici due, mediante la
versione di crypt() di FreeBSD al posto della standard. Ma non per
aumentare i caratteri 'in chiaro' della password.
?! :) quindi sicuramente dipende anche dalla distro usata, sebbene nel mio
src ci siano indicazioni tanto per RH che per Debian.
ad ogni modo ritengo dipenda anche da come sia stata compilata la libreria
che contiene le funzioni necessarie al login/accounting. Potrebbe essere
ok shadowconfig e crypt, ma poi non necessariamente comportarsi
adeguatamente altro software che magari passi solo i primi 8 caratteri a
crypt ...... :O


On Mon, 12 Apr 1999 
in...@MaNTRa.eCheLoN.net
 wrote:
sempre dai src, sembra che un vecchio config.h specifichi la possibilita'
usando il crypt con MD5 di FreeBSD di usare password con qualunque numero
di chars !!!! MA:
richiede che i programmi che necessitino di login/accounting usino una
chiamata da libshadow.a e non il normale crypt() di libc .... quindi siamo
cmq in mano anche alle varie applicazioni (che penso usino in massa
crypt() :)))) ..... d'altra parte getpass() accetta 128 caratteri compreso
/0 quindi direi che e' un bel marasma .... indubbiamente ci vuole una
distro ben compilata con questo in mente oppure tutti i src per patchare
il tutto, come avevo detto .....


 slackware ... non ho idea di Debian (Marco ci sei?)
non mi chiamo Marco :-) ma ho provato la tua passw su un utente test.
Effettivamente dopo l'8o carattere poi mettere quello che vuoi.
Debian 2.1, kernel 2.2.4.
-- 
Paolo Pedaletti, Como, ITALYa
paolo.p...@flashnet.it

nel sistema. Infatti:
L'hai detto. Devi anche attivare MD5_CRYPT_ENAB. Il DES normale proprio
non permette password piu` lunghe di 8 caratteri.
-- 
ciao, | [Per rispondere togli "toglimi" dal mio indirizzo.]
Marco | * The Internet is full. Go away.  -- Joel Furr *

distro ben compilata con questo in mente oppure tutti i src per patchare
Io punto su debian, ma se ci fosse qualcosa che non va basta aprire dei
bug.


E' esattamente cosi'. 
Non so se e' la solita questione della encryption debole, se bisogna
ricompilarsi la parte di librerie c che gestisce la crittazione o no, ma
se qualcuno mi sa dare una risposta chiara su sta faccenda potrei
evitare di troncare i nomi agli utenti.
Ciao
-- 
Simone Piccardi
Microsoft is NOT the answer. Microsoft is the Question.
The answer is: "NO!"